LiteLLM-Datenleck legt Geheimnisse von fast 2.500 Organisationen offen

Sicherheitsforscher haben Zugriff auf ein 153 GB großes Archiv erhalten, das Zugangsdaten enthält, die angeblich während des LiteLLM-Supply-Chain-Angriffs im März gestohlen wurden. Die Daten sollen mit fast 2.500 Organisationen in Verbindung stehen, darunter AWS, Cisco, Samsung, Salesforce und weitere große Unternehmen.

Das Archiv aus dem LiteLLM-Datenleck enthält Cloud-Zugangsdaten, Zugriffstokens, Schlüssel für KI-Anbieter und andere sensible Informationen. Das Vorhandensein von Daten in diesem Datensatz bestätigt jedoch nicht, dass die Angreifer tatsächlich auf jedes betroffene Unternehmen zugegriffen oder sämtliche gestohlenen Zugangsdaten verwendet haben.

Archiv enthält Hunderttausende Dateien

Die Threat-Intelligence-Unternehmen CloudSEK und Hudson Rock geben an, dass das Archiv 433.909 Dateien enthält. Hudson Rock ordnete 118.829 Dumps von CI-Runnern insgesamt 2.488 Unternehmensdomains zu.

Der Datensatz soll unter anderem geheime AWS-Zugriffsschlüssel, Microsoft-Azure-Zugangsdaten, Salesforce-Tokens, Kubernetes-Service-Account-Tokens, SSH-Schlüssel, GitHub- und GitLab-Zugriffstokens, Umgebungsdateien sowie API-Schlüssel für KI-Dienste enthalten.

Die Angreifer hinter dem LiteLLM-Supply-Chain-Angriff sollen das schädliche Paket so entwickelt haben, dass es Daten aus aktiven Umgebungen sammelt. Wenn Entwickler das Paket installierten oder ausführten, konnte die Malware den Prozessspeicher, Konfigurationsdateien und CI/CD-Runner-Umgebungen nach Zugangsdaten und anderen Geheimnissen durchsuchen.

KI-Gateways verwalten häufig Zugangsdaten mit weitreichenden Berechtigungen, da sie Modelle, Cloud-Dienste, Entwicklungspipelines und interne Systeme miteinander verbinden. Dadurch ist eine Kompromittierung dieser Art besonders schwerwiegend.

Forscher warnen vor weiterhin gültigen Schlüsseln

CloudSEK betont, dass gestohlene Zugangsdaten keine weitere Kompromittierung beweisen. Einige Schlüssel wurden möglicherweise nie von den Angreifern verwendet, während betroffene Organisationen andere bereits ausgetauscht haben könnten.

Dennoch warnen die Forscher davor, dass offengelegte Zugangsdaten über Wochen oder Monate gültig bleiben können, wenn Unternehmen sie nicht schnell widerrufen.

Der Sicherheitsforscher Kevin Beaumont erklärte, er habe die geleakten Daten überprüft und ihre Echtheit bestätigt. Zudem testete er eine Gruppe von Zugangsdaten aus dem März und stellte fest, dass viele davon weiterhin funktionierten. Eine betroffene Organisation hatte zuvor angegeben, diese bereits ausgetauscht zu haben.

Dieser Befund verdeutlicht das Risiko, einen Supply-Chain-Vorfall als einmaliges Ereignis zu behandeln. Angreifer können lange nach dem ursprünglichen Angriff auf gestohlene Zugangsdaten zurückgreifen, wenn Organisationen diese weiterhin aktiv lassen.

Das FBI warnte im Juli davor, dass TeamPCP, die mit dem LiteLLM-Angriff in Verbindung gebrachte Gruppe, und verwandte Akteure die gestohlenen Zugangsdaten weiterhin für Angriffe nutzen könnten.

Organisationen sollten alle offengelegten Zugangsdaten austauschen

Jede Organisation, die die betroffene LiteLLM-Umgebung eingesetzt hat, sollte davon ausgehen, dass die Angreifer auf sämtliche Geheimnisse zugreifen konnten, die für den kompromittierten Prozess verfügbar waren.

Sicherheitsteams sollten Cloud-IAM-Schlüssel, Schlüssel für KI-Anbieter, Kubernetes-Tokens, SSH-Schlüssel sowie persönliche Zugriffstokens für GitHub oder GitLab unverzüglich widerrufen und austauschen. Gleiches gilt für Zugangsdaten, die in .env-Dateien, CI/CD-Variablen und Metadatendiensten von Cloud-Instanzen gespeichert waren.

Es reicht nicht aus, lediglich den LiteLLM-Schlüssel oder den Schlüssel des Modellanbieters auszutauschen. Die Angreifer könnten jedes Geheimnis gesammelt haben, das der kompromittierte Prozess aus dem Arbeitsspeicher, von der Festplatte, aus injizierten Umgebungsvariablen oder über Cloud-Metadatendienste lesen konnte.

Teams sollten außerdem Authentifizierungsprotokolle, Aktivitäten von CI-Runnern und Cloud-Audit-Logs auf ungewöhnliches Verhalten überprüfen. Dabei sollten sie nach neuen Konten, unerwarteten API-Anfragen, verdächtigem ausgehendem Datenverkehr und anderen Anzeichen für dauerhaften Zugriff suchen.

KI-Infrastruktur ist ein wertvolles Angriffsziel

Das LiteLLM-Datenleck zeigt, warum Organisationen KI-Infrastruktur als privilegierte Infrastruktur behandeln müssen.

KI-Gateways befinden sich häufig an der Schnittstelle zwischen Daten, Identitäten, Cloud-Ressourcen und automatisierten Aktionen. Gleichzeitig basieren sie auf umfangreichen Software-Stacks und können mit weitreichenden Berechtigungen ausgeführt werden.

Unternehmen sollten begrenzen, auf welche Geheimnisse KI-Dienste zugreifen können, CI/CD-Runner isolieren, kurze Gültigkeitszeiten für Zugangsdaten durchsetzen und ausgehende Netzwerkverbindungen einschränken. Modell-Gateways und Build-Systeme sollten zudem mit derselben Aufmerksamkeit überwacht werden wie produktive Identitätsplattformen.

Das vollständige Ausmaß des LiteLLM-Datenlecks könnte erst in einigen Monaten sichtbar werden. Für Organisationen, die im geleakten Datensatz auftauchen, bleiben ein schneller Austausch der Zugangsdaten und eine gründliche Überprüfung auf Anzeichen einer Kompromittierung die wichtigsten nächsten Schritte.