Auwirkungen eines Supply-Chain-Angriffs: 153 GB gestohlene Zugangsdaten großer Konzerne aufgetaucht
Über die Gruppe Team PCP und ihre Supply-Chain-Kampagne haben wir schon berichtet. Jetzt zeigt sich, welche Folgen der Angriff aus dem März nach sich zieht: Ein 153 Gigabyte großes Archiv mit gestohlenen Zugangsdaten ist aufgetaucht, das sich Tausenden von Unternehmensdomänen zuordnen lässt. Unter den betroffenen Konzernen sind laut Analyse auch Volkswagen, Siemens, Microsoft, AWS, Cisco und Salesforce. Der eigentliche Angriff liegt Monate zurück, die Zugangsdaten sind aber vielfach bis heute gültig. Genau das macht die Meldung akut.
Der Vorfall aus dem März
Der Vorfall begann nicht bei LiteLLM, sondern eine Stufe früher. Am 19. März 2026 nutzte Team PCP gestohlene Zugangsdaten, um eine manipulierte Version des weit verbreiteten Open-Source-Scanners Trivy zu veröffentlichen. Die Build-Pipeline von LiteLLM installierte Trivy automatisch. Dadurch erhielt der vergiftete Scanner Lesezugriff auf die Umgebung der Build-Runner, und die Angreifer konnten die PyPI-Veröffentlichungs-Tokens von LiteLLM abgreifen. Mit diesen Tokens brachten sie am 24. März zwei präparierte LiteLLM-Versionen, 1.82.7 und 1.82.8, in den Python-Paketindex PyPI.
LiteLLM ist ein Open-Source-Gateway, über das Entwickler Anfragen an verschiedene KI-Modelle leiten. Die manipulierten Pakete waren nur rund 40 Minuten verfügbar. Das reichte: In diesem kurzen Fenster wurden nach Angaben der Forscher über 430.000 Pipeline-Durchläufe getroffen und dabei Millionen von Geheimnissen abgegriffen. Genau darin liegt die Sprengkraft moderner Lieferkettenangriffe. Ein einziger kompromittierter Baustein weit oben in der Kette wirkt sich gleichzeitig auf Tausende nachgelagerte Unternehmen aus.
Was jetzt neu ist: das Datenleck wird sichtbar
Die Sicherheitsfirma Hudson Rock hat das 153-GB-Archiv nach eigenen Angaben beschafft und ausgewertet. Es enthält 433.909 Dateien, davon ordnet Hudson Rock 118.829 Speicherabzüge von CI-Runnern insgesamt 2.488 Unternehmensdomänen zu. Unabhängig davon kommt die Firma CloudSEK auf Basis eines eigenen Datensatzes von rund 434.000 gestohlenen Dateien auf annähernd 2.500 betroffene Organisationen. CloudSEK betont, dass diese Zahl eine mögliche Exposition beschreibt, nicht in jedem Fall einen bestätigten Einbruch.
In den Daten tauchen Namen wie NVIDIA, Volkswagen, Microsoft, FedEx, S&P Global, John Deere, Epic Games, Orange, TomTom, BT Group, ServiceNow, Deloitte und Siemens auf. Zu den erfassten Geheimnissen gehören laut den veröffentlichten Auswertungen AWS-Zugriffsschlüssel, Salesforce-Client-Secrets, Slack-Signing-Secrets, Azure-Umgebungsvariablen und API-Schlüssel für KI-Dienste, jeweils während der Ausführung der Pipelines abgegriffen.
Besonders heikel ist ein Teil des Problems, der leicht übersehen wird: Viele Dateien enthalten sensible Zugangsdaten, aber keinen eindeutigen Hinweis auf ihren Eigentümer, also keine Firmen-E-Mail, keine eigene Domäne, keinen internen Servernamen. Betroffene Unternehmen können also in dem Datensatz stecken, ohne davon zu wissen. Nach Einschätzung von Hudson Rock zirkuliert das Archiv derzeit noch nicht breit. Daraus ergibt sich ein enges Zeitfenster, in dem Unternehmen ihre Schlüssel und Geheimnisse rotieren können, bevor die Daten wie üblich irgendwann öffentlich werden.
Warum das Entfernen der Pakete nicht genügt
Der wichtigste Punkt für die Praxis: Dass die schädlichen Pakete längst aus PyPI verschwunden sind, beendet den Vorfall nicht. Automatisierte Pipelines installieren Abhängigkeiten in Maschinengeschwindigkeit und laufen oft mit weitreichenden Rechten. Einmal abgegriffene Zugangsdaten bleiben gültig, bis sie aktiv ausgetauscht werden, und das über Wochen oder Monate. Wie real das ist, zeigt eine Beobachtung eines Sicherheitsforschers: Ein betroffenes Großunternehmen erklärte, alle Zugangsdaten längst rotiert zu haben. Bei einer Prüfung im Rahmen der Meldepolitik funktionierten dennoch nahezu alle getesteten Schlüssel weiterhin. Bereits im Juli hatte zudem eine FBI-Warnung (FLASH-20260702-01) davor gewarnt, dass nahestehende Akteure die erbeuteten Zugangsdaten voraussichtlich aktiv missbrauchen werden.
- Umgebungen darauf prüfen, ob die LiteLLM-Versionen 1.82.7 oder 1.82.8 im Einsatz waren oder ob Trivy im betroffenen Zeitraum um den 19. bis 24. März 2026 in der Pipeline lief.
- Sämtliche Geheimnisse, die für diese Umgebung erreichbar waren, als kompromittiert behandeln und austauschen.
- Die Protokolle der CI/CD-Systeme rückwirkend bis zum 24. März 2026 auf auffällige Aktivitäten prüfen.
- Das eigene GitHub-Konto auf fremd erstellte öffentliche Repositories kontrollieren, da die Schadsoftware gestohlene Daten teils in ein neu angelegtes öffentliches Repository im Konto des Opfers hochlud.