LiteLLM-Angriff: Mehr als 2500 Unternehmen betroffen

Was geschehen ist – die Kernmeldung ausführlich

Im März dieses Jahres kam es zu einem schwerwiegenden Supply-Chain-Angriff auf die populäre Software-Bibliothek LiteLLM, die vor allem im Bereich der Künstlichen Intelligenz Anwendung findet. Unbekannte Angreifer schafften es, kompromittierte Pakete in den Python Packages Index (PyPI) einzuschleusen. Obwohl diese schädlichen Dateien lediglich für einen Zeitraum von etwa 40 Minuten online verfügbar waren, reichte dieses kurze Zeitfenster aus, um verheerende Auswirkungen zu entfalten. Die infizierten Pakete wurden von automatisierten Build-Systemen in einer Vielzahl von Unternehmen heruntergeladen und ausgeführt. Experten der IT-Sicherheitsfirma CloudSEK haben nun aufgedeckt, dass dieser Vorfall mehr als 2500 Unternehmen betrifft, darunter zahlreiche weltweit agierende Konzerne. Die Angreifer nutzten dabei eine sogenannte Infostealer-Malware, die von Google als „Sandclock“ identifiziert wurde. Diese Schadsoftware war in der Lage, sich auf den betroffenen Systemen tief einzunisten, ihre Zugriffsrechte bis auf Root-Ebene auszuweiten und anschließend gezielt nach sensiblen Informationen zu suchen. Die Reichweite des Angriffs ist immens: Schätzungen zufolge wurden potenziell rund 434.000 automatisierte Entwickler-Build-Pipelines unterwandert. Die Angreifer zielten dabei insbesondere auf den Diebstahl von Zugangsdaten ab, die für die Infrastruktur der betroffenen Unternehmen essenziell sind.

Die Einzelheiten – Zahlen, Namen und Fakten

Die Liste der betroffenen Organisationen liest sich wie ein Who-is-Who der internationalen Wirtschaft. Zu den identifizierten Firmen zählen unter anderem Airbus, Amazon Web Services, Cisco, die Hoffmann-La Roche AG, Salesforce, Samsung, ServiceNow, Siemens sowie Epic Games, FedEx, die Munich Re, die Robert Bosch GmbH, die Thales Group, die Volkswagen AG und X Corp. Die von CloudSEK analysierten Daten belegen, dass die Malware auf den kompromittierten Systemen eine Vielzahl kritischer Objekte extrahierte. Dazu gehören Cloud-Keys, Repository-Token, SSH-Keys, Kubernetes-Secrets, Zugangsdaten für das Paket-Publishing, Umgebungsvariablen sowie spezifische API-Schlüssel für KI-Anbieter. Die gestohlenen Daten wurden mit AES-256 verschlüsselt und mit einem fest einprogrammierten RSA-4096-Key gesichert, bevor sie an Server übermittelt wurden, die Typosquatting-Domains nutzten. Sollte die Übertragung fehlschlagen, verfügte die Malware über einen Notfallmechanismus: Sie legte ein öffentliches Repository innerhalb des GitHub-Kontos des jeweiligen Opfers an und deponierte die Daten dort. Die IT-Forscher betonen, dass die bloße Entfernung der bösartigen Pakete nicht ausreicht, da die entwendeten Geheimnisse oft über Wochen oder Monate hinweg für weitere Angriffe missbraucht werden können.

Hintergrund – Vorgeschichte und Verlauf

Der Angriff auf LiteLLM ist ein klassisches Beispiel für eine Supply-Chain-Attacke, bei der nicht das Zielunternehmen direkt angegriffen wird, sondern eine vertrauenswürdige Komponente in der Lieferkette kompromittiert wird, auf die viele Firmen angewiesen sind. Durch das Einschleusen der Malware in den offiziellen Python-Repository-Dienst PyPI konnten die Angreifer sicherstellen, dass ihre Schadsoftware durch automatisierte Update-Prozesse direkt in die Entwicklungsumgebungen der Zielunternehmen gelangte. Die Schnelligkeit, mit der die Pakete verbreitet wurden, unterstreicht die Abhängigkeit moderner Software-Entwicklung von automatisierten Build-Pipelines. Bereits im Vorfeld des Angriffs gab es Warnungen vor ähnlichen Taktiken. Die Sicherheitsforscher von CloudSEK haben die Aktivitäten der Angreifer detailliert dokumentiert und in einem Blogbeitrag veröffentlicht. Dabei wurde deutlich, dass die Bedrohungslage durch den Angriff keineswegs mit dem Entfernen der schädlichen Pakete endete. Vielmehr haben die Angreifer durch den Zugriff auf Build-Systeme eine dauerhafte Hintertür geschaffen, die es ihnen ermöglicht, langfristig auf sensible Infrastrukturen zuzugreifen, sofern die betroffenen Unternehmen ihre Sicherheitskonfigurationen nicht grundlegend überarbeiten.

Die Beteiligten – Wer ist betroffen und wer warnt?

Die Hauptakteure in dieser Sicherheitskrise sind auf der einen Seite die betroffenen Unternehmen, die von der Liste der Sicherheitsforscher von CloudSEK abgedeckt werden. Diese Firmen, darunter Schwergewichte wie Siemens, Volkswagen und Amazon Web Services, stehen nun vor der Herausforderung, ihre gesamte IT-Infrastruktur auf Anzeichen einer Kompromittierung zu prüfen. Auf der anderen Seite stehen die IT-Sicherheitsforscher von CloudSEK, die den Angriff analysiert und die Öffentlichkeit über die Gefahren informiert haben. Auch das FBI hat sich in die Angelegenheit eingeschaltet. Bereits im Juli dieses Jahres warnte die US-Bundespolizei vor einer Cybergang namens TeamPCP. Den Berichten zufolge gibt es starke Indizien dafür, dass diese Gruppe mit den Akteuren hinter dem LiteLLM-Angriff in Verbindung steht. Das FBI warnt explizit davor, dass die gestohlenen Zugangsdaten wahrscheinlich noch lange nach dem eigentlichen Vorfall für weitere kriminelle Aktivitäten missbraucht werden könnten. Die Zusammenarbeit zwischen Sicherheitsforschern und staatlichen Behörden ist hierbei entscheidend, um das Ausmaß der Bedrohung zu verstehen und die betroffenen Organisationen zu warnen.

Einordnung – Was das bedeutet

Einzuordnen ist dieser Vorfall als ein massives Warnsignal für die Sicherheit von Software-Lieferketten. Die Tatsache, dass eine Bibliothek wie LiteLLM, die in KI-Build-Systemen weit verbreitet ist, so effizient kompromittiert werden konnte, zeigt die Verwundbarkeit automatisierter Prozesse. Den Berichten zufolge ist die Bedrohung auch Monate nach dem ursprünglichen Angriff noch immer hochaktuell. Die Sicherheitsexperten betonen, dass die bloße Tatsache, dass Daten potenziell hätten abgeflossen sein können, bereits eine ernste Sicherheitslücke darstellt. Es ist jedoch wichtig zu unterscheiden: Die Daten belegen zwar, dass die Angreifer Zugriff auf die Systeme hatten, sie beweisen jedoch nicht zwingend, dass in jedem Einzelfall sämtliche Zugangsdaten erfolgreich entwendet und bereits missbraucht wurden. Dennoch ist das Risiko durch die Art der gestohlenen Daten – insbesondere API-Keys und Cloud-Secrets – extrem hoch, da diese Schlüssel oft weitreichende Berechtigungen in der Cloud-Infrastruktur der Unternehmen gewähren. Eine Kompromittierung dieser Art kann zu einem vollständigen Vertrauensverlust in die betroffenen Systeme führen und erfordert eine umfassende forensische Untersuchung.

Offene Fragen – Was der Quelltext nicht beantwortet

Obwohl die Analyse von CloudSEK sehr detailliert ist, bleiben einige wesentliche Fragen offen. Der Quelltext macht keine expliziten Angaben darüber, ob es den Angreifern in jedem einzelnen der 2500 Fälle gelungen ist, erfolgreich Daten zu exfiltrieren, oder ob es sich in einigen Fällen lediglich um einen versuchten Zugriff handelte. Zudem bleibt unklar, welche konkreten Schäden bereits durch den Missbrauch der gestohlenen Schlüssel entstanden sind. Es wird nicht spezifiziert, ob die Angreifer die erbeuteten Daten bereits für weitere Angriffe auf die betroffenen Unternehmen genutzt haben oder ob sie diese Informationen möglicherweise auf dem Schwarzmarkt zum Verkauf angeboten haben. Auch die genaue Identität der Hintermänner hinter der Gruppe TeamPCP bleibt im Dunkeln, ebenso wie die Frage, ob es weitere, bisher unentdeckte Sicherheitslücken in anderen Software-Bibliotheken gibt, die ähnlich wie LiteLLM als Einfallstor dienen könnten. Die langfristigen Auswirkungen auf die betroffenen Unternehmen und die Frage, wie viele dieser Firmen bereits erfolgreich bereinigt wurden, werden im vorliegenden Text nicht beantwortet.

Wie es weitergeht – Angekündigte Schritte

Die IT-Sicherheitsforscher von CloudSEK haben klare Empfehlungen für alle potenziell betroffenen Unternehmen ausgesprochen. Der wichtigste Schritt ist die sofortige Änderung sämtlicher Zugangsdaten, die auf den kompromittierten Systemen gespeichert waren. Dies umfasst nicht nur Passwörter, sondern insbesondere API-Keys, SSH-Schlüssel und Kubernetes-Secrets. Zudem raten die Experten dazu, die Systeme einer gründlichen Härtung zu unterziehen und die Schwachstellen, die den Angriff ermöglicht haben, dauerhaft zu schließen. Unternehmen sollten zudem ihre Protokolldateien auf Anzeichen unbefugter Aktivitäten untersuchen, die auf den Missbrauch der gestohlenen Daten hindeuten könnten. Da die Bedrohung laut FBI noch lange anhalten kann, ist eine kontinuierliche Überwachung der IT-Infrastruktur zwingend erforderlich. Die betroffenen Unternehmen stehen nun in der Pflicht, ihre Sicherheitsarchitektur zu überprüfen, um in Zukunft besser gegen derartige Supply-Chain-Angriffe gewappnet zu sein. Die IT-Sicherheitsgemeinschaft wird den Fall weiterhin beobachten, da die Gefahr durch die bereits im Umlauf befindlichen Zugangsdaten weiterhin als hoch eingestuft wird.