LiteLLM-dataläcka exponerar hemligheter kopplade till nästan 2 500 organisationer

Säkerhetsforskare har fått tillgång till ett arkiv på 153 GB som innehåller inloggningsuppgifter som uppges ha stulits under leveranskedjeattacken mot LiteLLM i mars. Uppgifterna ska kunna kopplas till nästan 2 500 organisationer, däribland AWS, Cisco, Samsung, Salesforce och andra stora företag.

Arkivet från LiteLLM-intrånget innehåller molninloggningsuppgifter, åtkomsttokens, nycklar till AI-leverantörer och andra känsliga uppgifter. Att information finns i datasetet bekräftar dock inte att angriparna fick åtkomst till alla berörda företag eller använde samtliga stulna inloggningsuppgifter.

Arkivet innehåller hundratusentals filer

Hotinformationsföretagen CloudSEK och Hudson Rock uppger att arkivet innehåller 433 909 filer. Hudson Rock kopplade 118 829 dumpfiler från CI-runners till 2 488 företagsdomäner.

Datasetet ska bland annat innehålla hemliga AWS-åtkomstnycklar, Microsoft Azure-inloggningsuppgifter, Salesforce-tokens, Kubernetes-tokens för tjänstekonton, SSH-nycklar, åtkomsttokens för GitHub och GitLab, miljöfiler och API-nycklar för AI-tjänster.

Angriparna bakom leveranskedjeattacken mot LiteLLM ska ha utformat det skadliga paketet för att samla in data från aktiva miljöer. När utvecklare installerade eller körde paketet kunde den skadliga koden söka efter hemligheter i processminnet, konfigurationsfiler och CI/CD-runner-miljöer.

AI-gateways hanterar ofta inloggningsuppgifter med omfattande behörigheter eftersom de kopplar samman modeller, molntjänster, utvecklingspipelines och interna system. Det gör ett intrång av den här typen särskilt allvarligt.

Forskare varnar för att vissa nycklar fortfarande kan fungera

CloudSEK betonar att stulna inloggningsuppgifter inte bevisar att ytterligare intrång har skett. Angriparna kanske aldrig använder vissa nycklar, medan organisationer redan kan ha roterat andra.

Forskarna varnar ändå för att exponerade hemligheter kan fortsätta vara giltiga i veckor eller månader om företag inte återkallar dem snabbt.

Säkerhetsforskaren Kevin Beaumont uppger att han har granskat de läckta uppgifterna och konstaterat att de är legitima. Han testade också en grupp inloggningsuppgifter från mars och fann att många fortfarande fungerade, trots att en drabbad organisation uppgav att den hade roterat dem.

Resultatet visar riskerna med att behandla en leveranskedjeincident som en engångshändelse. Angripare kan återvända till stulna inloggningsuppgifter långt efter det ursprungliga intrånget om organisationer låter dem förbli aktiva.

FBI varnade i juli för att TeamPCP, gruppen som kopplats till LiteLLM-attacken, och relaterade aktörer kan fortsätta att utnyttja de stulna inloggningsuppgifterna.

Organisationer bör rotera alla exponerade hemligheter

Alla organisationer som körde den drabbade LiteLLM-miljön bör utgå från att angriparna fick tillgång till alla hemligheter som processen kunde komma åt.

Säkerhetsteam bör omedelbart återkalla och rotera IAM-nycklar för molntjänster, nycklar till AI-leverantörer, Kubernetes-tokens, SSH-nycklar och personliga åtkomsttokens för GitHub eller GitLab. De bör även rotera inloggningsuppgifter som lagrats i .env-filer, CI/CD-variabler och metadata för molninstanser.

Det räcker inte att enbart rotera LiteLLM-nyckeln eller nyckeln till modellleverantören. Angriparna kan ha samlat in alla hemligheter som den komprometterade processen kunde läsa från minnet, disken, injicerade miljövariabler eller molntjänsternas metadatatjänster.

Team bör också granska autentiseringsloggar, aktivitet från CI-runners och revisionsloggar från molntjänster efter ovanligt beteende. De bör leta efter nya konton, oväntade API-anrop, misstänkt utgående trafik och andra tecken på beständig åtkomst.

AI-infrastruktur är ett attraktivt mål

LiteLLM-intrånget visar varför organisationer måste behandla AI-infrastruktur som privilegierad infrastruktur.

AI-gateways fungerar ofta som en länk mellan data, identitet, molnresurser och automatiserade åtgärder. De är dessutom beroende av stora mjukvarustackar och kan köras med omfattande behörigheter.

Företag bör begränsa vilka hemligheter AI-tjänster kan komma åt, isolera CI/CD-runners, använda korta giltighetstider för inloggningsuppgifter och begränsa utgående nätverksanslutningar. De bör även övervaka modellgateways och byggsystem med samma noggrannhet som produktionssystem för identitetshantering.

Den fullständiga effekten av LiteLLM-intrånget kan ta månader att klarna. För organisationer som förekommer i det läckta datasetet är snabb rotation av inloggningsuppgifter och en grundlig granskning efter tecken på intrång fortfarande de viktigaste åtgärderna.