Terabytes of credentials leaked in massive supply-chain attack
En un ataque masivo a la cadena de suministro, se han filtrado terabytes de credenciales pertenecientes a algunas de las organizaciones más grandes y sensibles del mundo. La brecha de seguridad afectó a LiteLLM, una herramienta de código abierto que facilita el desarrollo de software impulsado por inteligencia artificial. Entre las entidades cuyos secretos de acceso fueron expuestos se encuentran Microsoft, Amazon, Cisco, Samsung y Salesforce.
El descubrimiento fue revelado por las firmas de seguridad CloudSEK y Hudson Rock, quienes encontraron claves de nube, tokens de repositorio, claves SSH, secretos de Kubernetes, credenciales de publicación de paquetes, variables de entorno y claves de proveedores de IA que podrían permitir a los atacantes acceder a más de 2,500 organizaciones.
Las credenciales fueron extraídas durante una ventana de 40 minutos en marzo, mientras las víctimas utilizaban versiones comprometidas de LiteLLM descargadas del repositorio oficial de Python Package Index. Hudson Rock realizó el descubrimiento tras analizar un archivo de 195TB. Ninguna de las firmas identificó la fuente de la información.
El compromiso de LiteLLM fue el resultado de un ataque previo a la cadena de suministro que infectó el escáner de vulnerabilidades Trivy. Otros softwares infectados en la campaña incluyen KICS y el SDK de Python de Telnyx. TeamPCP, una banda en su mayoría compuesta por adolescentes, se atribuyó el ataque, y los investigadores han corroborado en gran medida esta afirmación.
El investigador de seguridad independiente Kevin Beaumont confirmó la legitimidad de los datos, señalando que contienen un volumen significativo de contenido sensible en las organizaciones. «Es una violación masiva de la cadena de suministro debido a la mala seguridad de la IA, no porque la IA sea la amenaza, sino porque los adolescentes pueden superar a las organizaciones obsesionadas con implementar IA rápidamente y con una mala seguridad DevOps», afirmó.
En total, ambas firmas de seguridad indicaron que unas 434,000 canalizaciones de software CI/CD expusieron credenciales tras ejecutar las versiones comprometidas de LiteLLM. En muchos casos, los investigadores de CloudSEK y Hudson Rock tuvieron dificultades para identificar a las organizaciones a las que pertenecían las credenciales. Por ejemplo, una dirección de correo electrónico en el volcado del dominio @siriusxm.com no indicó una brecha en la emisora satelital, sino en la infraestructura de la subsidiaria de SiriusXM, AdsWizz.
Esta filtración ha expuesto una gran cantidad de secretos corporativos internos, revelando tokens sensibles para plataformas como Salesforce, Slack y entornos de Microsoft Azure. Ambas firmas instan a todas las organizaciones que utilizaron las versiones comprometidas de LiteLLM, especialmente aquellas enumeradas en la sección de alta confianza de la lista, a rotar a fondo todas las credenciales en sus canalizaciones.
Hudson Rock recomendó a cualquier organización que utilice infraestructura de proxy de IA, escáneres de vulnerabilidad de CI/CD de terceros o paquetes de IA descendentes, auditar inmediatamente su entorno para las versiones 1.82.7 y 1.82.8 de LiteLLM, las dos versiones comprometidas del software. La firma aconsejó a todos los afectados realizar una «revocación agresiva de credenciales», asumir que cualquier secreto accesible al entorno de LiteLLM está comprometido, invalidar y rotar todas las claves de nube, tokens de cuenta de servicio de Kubernetes y PATs de GitLab/GitHub, y auditar el registro y el filtrado de salida.
Como advertencia, CloudSEK señaló que los desarrolladores de Trivy rotaron pero no revocaron completamente un token de automatización durante un período de 20 días, lo que permitió a los atacantes forzar la inserción de código malicioso en compilaciones de terceros que utilizaban el escáner de vulnerabilidades. Como observó Beaumont, la prisa de las organizaciones por integrar la IA en sus sistemas de entrega de software también ha contribuido en gran medida a la magnitud del daño.