Supply-Chain-Angriff auf LiteLLM: Sicherheitsrisiken und Handlungsempfehlungen

Die digitale Infrastruktur, insbesondere im Bereich der Künstlichen Intelligenz, ist zunehmend das Ziel komplexer Cyberangriffe. Ein aktuelles Beispiel hierfür ist der Supply-Chain-Angriff auf die beliebte Open-Source-Bibliothek LiteLLM. Mindverse, als Ihr Partner in KI-Technologien, beleuchtet die Details dieses Vorfalls, um Ihnen präzise und umsetzbare Erkenntnisse für Ihre B2B-Strategie zu liefern.

LiteLLM im Fokus einer Supply-Chain-Attacke

LiteLLM ist eine vielgenutzte Open-Source-Bibliothek, die Entwicklern ein einheitliches Interface für den Zugriff auf über 100 Large Language Models (LLMs) wie OpenAI oder Anthropic bietet. Ihre Beliebtheit – mit täglich rund 3,4 Millionen Downloads und über 95 Millionen im letzten Monat – macht sie zu einem attraktiven Ziel für Angreifer. Am 24. März 2026 wurde bekannt, dass zwei Versionen des LiteLLM-PyPI-Pakets, namentlich 1.82.7 und 1.82.8, kompromittiert wurden. Diese enthielten einen sogenannten Credential-Stealer, eine Schadsoftware, die darauf ausgelegt ist, sensible Zugangsdaten abzugreifen.

Der Modus Operandi des Angriffs

Die Attacke wurde der Hackergruppe TeamPCP zugeschrieben, die bereits in der Vergangenheit durch Angriffe auf andere Sicherheitstools wie Trivy, einen quelloffenen Security-Scanner, in Erscheinung getreten ist. Es wird vermutet, dass die Kompromittierung von Trivy, das in der CI/CD-Pipeline von LiteLLM eingesetzt wird, als Einfallstor für den aktuellen Angriff diente. Die Angreifer sollen sich durch den Diebstahl von Maintainer-Zugangsdaten Zugang verschafft und anschließend die manipulierten Pakete direkt auf den Python Package Index (PyPI) hochgeladen haben, wodurch die üblichen CI/CD-Workflows umgangen wurden.

Der Payload des Credential-Stealers war mehrstufig aufgebaut:

• Datenerfassung: Er suchte gezielt nach SSH-Keys, Umgebungsvariablen, Cloud-Provider-Credentials (AWS, GCP, Azure), Kubernetes-Token und Datenbankpasswörtern.
• Laterale Bewegung: In Kubernetes-Umgebungen wurde versucht, privilegierte Pods auf jedem Knoten zu installieren, um die Kontrolle über den Cluster zu erweitern.
• Persistenz: Eine systemd-Backdoor wurde installiert, um langfristigen Zugriff zu sichern und das Nachladen weiterer bösartiger Binärdateien zu ermöglichen.

Besonders kritisch war die Vorgehensweise in Version 1.82.8, die eine .pth-Datei nutzte. Diese Datei wird automatisch bei jedem Start des Python-Interpreters ausgeführt, unabhängig davon, ob LiteLLM explizit importiert wird. Dies erhöht die Reichweite des Angriffs erheblich, da selbst das bloße Vorhandensein des kompromittierten Pakets auf einem System zur Ausführung der Schadsoftware führen konnte.

Umfang und Auswirkungen

Die kompromittierten Pakete waren über mehrere Stunden am 24. März 2026 zum Download verfügbar, bevor sie von PyPI entfernt wurden. Angesichts der hohen Downloadzahlen von LiteLLM ist es realistisch anzunehmen, dass Hunderttausende von Systemen betroffen sein könnten. Die gestohlenen Daten wurden verschlüsselt und an eine Angreifer-kontrollierte Domain gesendet, die der legitimen LiteLLM-Infrastruktur nachempfunden war.

Empfehlungen für betroffene Unternehmen

Für Unternehmen, die LiteLLM in ihren Systemen einsetzen, sind umgehende Maßnahmen erforderlich, um potenzielle Schäden zu minimieren. Die folgenden Schritte werden dringend empfohlen:

1. Prüfung und Identifikation

• Versionsprüfung: Überprüfen Sie alle Python-Umgebungen auf die Installation der Versionen 1.82.7 oder 1.82.8 von LiteLLM. Dies kann mittels pip show litellm erfolgen.
• Dateisystem-Audit: Suchen Sie nach Indikatoren einer Kompromittierung, insbesondere nach der Datei litellm_init.pth im site-packages-Verzeichnis sowie nach verdächtigen Dateien oder Verzeichnissen wie ~/.config/sysmon/ oder /tmp/pglog.
• Netzwerkanalyse: Überprüfen Sie Ihre Netzwerkprotokolle auf ausgehende Verbindungen zu den Angreifer-Domänen, insbesondere models.litellm[.]cloud und checkmarx[.]zone.
• Kubernetes-Check: Falls Kubernetes verwendet wird, prüfen Sie den kube-system-Namespace auf unerwartete Pods mit Namen wie node-setup-*.

2. Umgehende Gegenmaßnahmen

• Rotation aller Zugangsdaten: Betrachten Sie alle auf betroffenen Systemen vorhandenen Geheimnisse (Secrets) als kompromittiert. Dazu gehören API-Schlüssel, Cloud-Zugangsdaten, Datenbankpasswörter, SSH-Keys, Kubernetes-Token und alle in Umgebungsvariablen oder Konfigurationsdateien gespeicherten Zugangsdaten. Diese müssen unverzüglich geändert werden.
• Isolation und Bereinigung: Isolieren Sie betroffene Systeme vom Netzwerk. Deinstallieren Sie die kompromittierten LiteLLM-Versionen und entfernen Sie alle gefundenen Persistenz-Artefakte (z.B. systemd-Dienste, Skripte).
• Versions-Pinning: Sichern Sie Ihre Abhängigkeiten, indem Sie LiteLLM auf eine bekannte sichere Version wie 1.82.6 oder eine später verifizierte Freigabe pinnen. Vermeiden Sie die Installation ohne explizite Versionsangabe.
• Audit der CI/CD-Pipelines: Überprüfen Sie Ihre CI/CD-Pipelines und Docker-Builds, um sicherzustellen, dass keine kompromittierten Versionen installiert wurden oder werden.

3. Präventive Maßnahmen für die Zukunft

• Strikte Abhängigkeitsverwaltung: Nutzen Sie Lockfiles (z.B. poetry.lock, uv.lock) und pinnen Sie Abhängigkeiten auf exakte Versionen, um ungewollte Updates auf potenziell schädliche Versionen zu verhindern.
• Sicherheit von CI/CD-Workflows: Sichern Sie Ihre CI/CD-Pipelines. Überprüfen Sie die Rechtevergabe für Secrets und verwenden Sie Tools für die Abhängigkeitsprüfung (z.B. pip-audit, Dependabot), um bekannte Schwachstellen frühzeitig zu erkennen.
• Multi-Faktor-Authentifizierung: Implementieren Sie Multi-Faktor-Authentifizierung für alle Konten, insbesondere für Zugänge zu Paket-Repositories wie PyPI.
• Regelmäßige Audits: Führen Sie regelmäßige Sicherheitsaudits Ihrer Software-Lieferketten durch.

Fazit

Der Supply-Chain-Angriff auf LiteLLM verdeutlicht die Notwendigkeit robuster Sicherheitsmaßnahmen in der gesamten Software-Lieferkette, insbesondere in der schnelllebigen Welt der KI-Entwicklung. Für Unternehmen, die auf KI-Technologien setzen, ist es entscheidend, proaktiv zu handeln und eine Kultur der Sicherheitsprüfung und -härtung zu etablieren. Mindverse unterstützt Sie dabei, diese komplexen Herausforderungen zu verstehen und in handlungsorientierte Strategien zu übersetzen, um die Integrität Ihrer KI-Systeme zu gewährleisten.

Bibliographie

- Heise Online: Supply-Chain-Attacke auf LiteLLM: Betroffene sollen Credentials sofort ändern. (2026, 25. März). Abgerufen von https://www.heise.de/news/Supply-Chain-Attacke-auf-LiteLLM-Betroffene-sollen-Credentials-sofort-aendern-11223618.html - BleepingComputer: Popular LiteLLM PyPI package backdoored to steal credentials, auth tokens. (2026, 25. März). Abgerufen von https://www.bleepingcomputer.com/news/security/popular-litellm-pypi-package-compromised-in-teampcp-supply-chain-attack/ - LiteLLM Blog: Security Update: Suspected Supply Chain Incident. (2026, 24. März). Abgerufen von https://docs.litellm.ai/blog/security-update-march-2026 - Awesome Agents: LiteLLM Compromised: Credential Stealer in PyPI Package. (2026, 24. März). Abgerufen von https://awesomeagents.ai/news/litellm-supply-chain-compromise-credential-theft/ - Comet Blog: LiteLLM Supply Chain Attack: What Happened, Who's Affected, and What You Should Do Right Now. (2026, 24. März). Abgerufen von https://www.comet.com/site/blog/litellm-supply-chain-attack/ - IT-Boltwise: TeamPCP kompromittiert LiteLLM: Supply-Chain-Angriff auf Python-Pakete. (2026, 24. März). Abgerufen von https://www.it-boltwise.de/teampcp-kompromittiert-litellm-supply-chain-angriff-auf-python-pakete.html - Phoenix.Security: LiteLLM Backdoored by TeamPCP: PyPI Supply Chain Attack (2026). (2026, 24. März). Abgerufen von https://phoenix.security/teampcp-litellm-supply-chain-compromise-pypi-credential-stealer-kubernetes/ - Top AI Product: 95 Million Monthly Downloads Compromised: Inside the LiteLLM Supply Chain Attack. (2026, 24. März). Abgerufen von https://topaiproduct.com/2026/03/24/95-million-monthly-downloads-compromised-inside-the-litellm-supply-chain-attack/ - AI Models Map: LiteLLM Supply Chain Attack (March 2026) - What Happened & What To Do. (2026, 24. März). Abgerufen von https://aimodelsmap.com/litellm-supply-chain-attack - Alpha Match Technology: The LiteLLM Supply Chain Attack: A Wake-Up Call for AI Security. Abgerufen von https://www.alphamatch.ai/blog/litellm-supply-chain-attack-2026