Vazamento de dados em 2.500 organizações: Trivy, e não LiteLLM, foi o vetor inicial

A análise da SOCRadar confirma que o verme Shai-Hulud, atribuído ao TeamPCP, explora vulnerabilidades em pipelines de Integração Contínua/Entrega Contínua (CI/CD) para se disseminar. O ataque foca no roubo de credenciais, como tokens, chaves de API e segredos de desenvolvedores, que são então utilizados para modificar pacotes acessíveis e injetar versões maliciosas em repositórios. No caso do LiteLLM, isso se manifestou através de um arquivo .pth que era executado automaticamente pelo Python na inicialização do interpretador, burlando as proteções de ignore-scripts.

A propagação do ataque foi intensa. Dados da SOCRadar mostram que a coleta de informações começou apenas 18 minutos após a publicação da build maliciosa do Trivy em 19 de março. Houve um pico de atividade entre 22 e 23 de março, quando imagens infectadas do Trivy estavam ativas no Docker Hub. Mesmo após a quarentena dos pacotes pelo PyPI em 24 de março, o payload .pth continuou a rodar em hosts já infectados, demonstrando a persistência da ameaça. Plataformas como GitHub Actions, GitLab CI, Jenkins, Bitbucket, CircleCI e Buildkite foram afetadas globalmente, com Brasil, Alemanha e França entre os países mais impactados.

Houve uma correção importante na atribuição do vetor inicial do ataque. Inicialmente, notícias como a do CEVIU News em 13 de agosto de 2026, focaram no LiteLLM como o ponto de partida para o comprometimento de mais de 2.500 organizações. A cobertura de 26 de março de 2026, também detalhou o comprometimento do pacote LiteLLM no PyPI.

Agora, a SOCRadar esclarece que o comprometimento primário foi do Trivy, ferramenta da Aqua Security. Os pacotes maliciosos do LiteLLM, que ficaram online por cerca de 40 minutos em 24 de março, foram um estágio posterior da infecção, não o vetor inicial. A maior parte das vítimas já havia sido comprometida antes mesmo da publicação dos pacotes LiteLLM, por meio da infecção original via Trivy. Ou seja, o LiteLLM foi o 'ato final', não a 'peça completa', como foi inicialmente reportado.

Este incidente sublinha a complexidade e o perigo dos ataques à cadeia de suprimentos de software. A alteração da narrativa, onde o Trivy se revela o vetor inicial e não o LiteLLM, mostra a dificuldade em rastrear a origem e a cronologia exata de ataques sofisticados. Para empresas e governos, a proteção contra esses ataques exige uma vigilância constante de todos os componentes da cadeia de desenvolvimento, desde scanners de vulnerabilidades até bibliotecas de IA.

A negociação aberta dos dados roubados no Telegram representa um risco iminente. Credenciais comprometidas, como tokens JWT, chaves privadas, chaves de acesso da AWS, tokens do GitLab e chaves de API do OpenAI, podem levar a acessos não autorizados, vazamentos adicionais e interrupções operacionais graves. É vital que as organizações implementem políticas rigorosas de gestão de segredos e monitoramento contínuo de seus pipelines CI/CD.