LiteLLM-ի վրա հարձակումից գողացված 153 ԳԲ հավատարմագրեր են հայտնվել համանցում

Համանցում է հայտնվել 153 ԳԲ ծավալով արխիվ, որը պարունակում է 2026 թվականի մարտին LiteLLM-ի մատակարարման շղթայի վրա հարձակման ժամանակ գողացված հավատարմագրերը: Այն բացահայտում է գաղտնի տվյալներ՝ կապված գրեթե 2500 կազմակերպությունների հետ, այդ թվում՝ Amazon Amazon.com, Inc. ↘ 2.24%, Samsung, Cisco ↘ 0.01%, Microsoft ↗ 0.52%, NVIDIA ↘ 1.47% և Salesforce ↗ 1.84%: Կիբերանվտանգության ոլորտի Hudson Rock և CloudSEK ընկերություններն այս շաբաթ հրապարակել են տվյալների վերլուծությունը՝ առաջին անգամ բացահայտելով մարտին տեղի ունեցած և շուրջ 40 րոպե տևած հարձակման ողջ ծավալը, որի ընթացքում, սակայն, գաղտնի տվյալներ են կորզվել ավելի քան 430,000 CI/CD փայփլայններից:helpnetsecurity+2

Ինչպես է տեղի ունեցել հարձակումը

Արտահոսքի հետքերը տանում են դեպի TeamPCP կիբերհանցագործ խումբը, որն ի հայտ է եկել 2025 թվականի վերջին: 2026 թվականի մարտի 19-ին խումբն օգտագործել է գողացված հավատարմագրերը՝ հանրահայտ բաց կոդով Trivy խոցելիությունների սկաների վնասված տարբերակը հրապարակելու համար: LiteLLM-ի կառուցման փայփլայնը ավտոմատ կերպով տեղադրել է Trivy-ն՝ վարակված սկաներին հասանելիություն տալով runner միջավայրին և թույլ տալով հարձակվողներին գողանալ նախագծի PyPI հրապարակման տոկենները:arstechnica+1

Օգտագործելով այդ տոկենները՝ TeamPCP-ն մարտի 24-ին Python Package Index-ում հրապարակել է LiteLLM-ի երկու վնասաբեր թողարկում՝ 1.82.7 և 1.82.8 տարբերակները: Վնասաբեր ծրագիրը հավաքել է միջավայրի փոփոխականները, AWS հավատարմագրերը, Kubernetes-ի կարգավորումները, SSH բանալիները և ԱԲ մատակարարների API բանալիները, այնուհետև դրանք դուրս բերել հարձակվողների կողմից վերահսկվող ենթակառուցվածքի միջոցով:helpnetsecurity+3

Բացահայտման մասշտաբները

Hudson Rock-ի վերլուծությունը 118,829 CI runner դամփեր վերագրել է 2,488 կորպորատիվ տիրույթների: CloudSEK-ը, աշխատելով տվյալների առանձին բազայի հետ, հաստատել է այս թվերը՝ հայտնաբերելով ավելի քան 2,500 պոտենցիալ տուժած կազմակերպություն: Երկու ընկերություններն էլ ընդգծել են, որ իրենց բացահայտումները արտացոլում են տվյալների հասանելի դառնալու փաստը, այլ ոչ թե հաստատված կոտրումները:infostealers+3

Բացահայտված հավատարմագրերի հետ կապված կազմակերպությունների թվում են Volkswagen, FedEx ↘ 1.50%, Deloitte, ServiceNow ↗ 2.76%, S&P Global ↗ 1.01%, Siemens և BT Group ընկերությունները:helpnetsecurity+1

«Ի դեպ, ես հաստատել եմ, որ տվյալներն իրական են բազմաթիվ տուժած կազմակերպությունների օրինակով»,- գրել է անկախ անվտանգության հետազոտող Քևին Բոմոնթը՝ հավելելով, որ արտահոսքը տեղի է ունեցել «ԱԲ թույլ անվտանգության պատճառով. ոչ թե այն պատճառով, որ ԱԲ-ն ինքնին սպառնալիք է, այլ որովհետև դեռահասները կարող են հեշտությամբ շրջանցել այն կազմակերպություններին, որոնք տարված են ԱԲ-ն արագ ներդնելով և ունեն DevOps-ի թույլ անվտանգություն»:arstechnica+1

Գործելու հրատապությունը

Չնայած նախնական կոտրումից ամիսներ են անցել, որոշ կազմակերպություններ դեռևս չեն փոխարինել բացահայտված հավատարմագրերը: Բոմոնթը հայտնել է, որ ԱՄՆ խոշոր տեխնոլոգիական ընկերություններից մեկը պնդում էր, թե փոխարինել է բոլոր տուժած բանալիները, սակայն երբ ինքը փորձարկել է դրանք (ինչը թույլատրվում էր ընկերության պատասխանատու բացահայտման քաղաքականությամբ), «գրեթե բոլորն աշխատել են»:helpnetsecurity

Hudson Rock-ի համահիմնադիր Ալոն Գալը նշել է, որ տվյալները դեռևս հանրայնորեն չեն տարածվում, ինչը ստեղծում է «հնարավորությունների կարևոր պատուհան ընկերությունների համար՝ փոխարինելու բանալիներն ու գաղտնիքները նախքան դրանց վերջնական արտահոսքը»: Կազմակերպություններին կոչ է արվում LiteLLM-ի 1.82.7 կամ 1.82.8 տարբերակներին հասանելի ցանկացած գաղտնի տվյալ համարել վտանգված, վերակառուցել տուժած CI runner-ները և ստուգել մատյանները սկսած մարտի 24-ից:thehackernews+2