Хакеры украли данные у 2500 компаний через атаку на LiteLLM

Кибератака на проект LiteLLM, связанная с цепочкой поставок программного обеспечения, привела к утечке данных более чем 2500 компаний. В числе пострадавших организаций значатся такие гиганты, как Cisco, Samsung, Salesforce и Amazon Web Services, а также Airbus U.S. Space & Defense, Thales Group, Deutsche Bahn, Munich Re и London Stock Exchange Group.

Атака произошла из-за компрометации защитного модуля Aqua Security Trivy, который предназначен для сканирования уязвимостей. Хакеры из группы TeamPCP модифицировали пакет Trivy и загрузили его в LiteLLM без проверки, что дало им возможность получить права администратора на сервере и установить вредоносное ПО.

Вредоносная программа позволила злоумышленникам получить доступ к важным учетным данным, включая ключи SSH, токены Kubernetes и другие секреты, что является серьезной угрозой для безопасности пострадавших организаций. Эксперты CloudSEK и Hudson Rock установили, что атака была осуществлена 24 марта, и спустя пять месяцев после инцидента проблема все еще не решена. Дампы похищенных данных составляют 195 Тбайт, и был опубликован архив размером 153 Гбайт.

Согласно информации от CloudSEK, были скомпрометированы ресурсы 2500 компаний и 434000 CI/CD конвейеров. Для помощи пострадавшим организациям обе компании разработали инструменты проверки доменов, позволяющие оценить уязвимость систем.

Несмотря на то, что компании произвели замену учетных данных, некоторые скомпрометированные ключи продолжают оставаться действительными. Это создает риски для конфиденциальности данных как самих организаций, так и их клиентов, и нет гарантии, что компании будут пересматривать свои системы ИИ для предотвращения будущих инцидентов.