Un attacco alla supply chain legato a Trivy, strumento open source di Aqua Security per la scansione delle vulnerabilità, ha esposto credenziali appartenenti a oltre 2.500 organizzazioni. Nell’elenco figurano grandi fornitori tecnologici e operatori di servizi essenziali, tra cui Cisco, Samsung, Salesforce, Amazon Web Services, Airbus U.S. Space & Defense, Thales Group, Deutsche Bahn, Munich Re e London Stock Exchange Group.
Il punto d’ingresso ha coinvolto LiteLLM, gateway open source che traduce le chiamate API destinate a oltre 100 modelli linguistici in un unico formato compatibile con OpenAI. LiteLLM non è stato compromesso direttamente: gli attaccanti hanno sfruttato una vulnerabilità nota di Trivy, facendo leva sulla fiducia accordata a un componente normalmente utilizzato nei processi automatizzati di sviluppo e sicurezza.
L’operazione risale al 24 marzo 2026 ed è stata attribuita a TeamPCP, gruppo descritto come mosso da motivazioni finanziarie. Dopo aver compromesso Trivy, gli aggressori ne hanno distribuito una versione modificata. Il pacchetto è stato successivamente scaricato e ammesso nell’ambiente di LiteLLM attraverso un processo automatico che non ne ha verificato l’identità, trasformando uno strumento affidabile nel veicolo dell’intrusione.
Una volta entrato nel sistema, il pacchetto alterato ha ottenuto privilegi di amministratore sul server e installato uno stealer. Il malware non si è limitato a raccogliere documenti aziendali: ha puntato a credenziali e segreti capaci di aprire l’accesso ad altri ambienti, servizi e infrastrutture, ampliando il possibile raggio d’azione ben oltre il sistema inizialmente compromesso.
Tra i materiali sottratti figurano chiavi cloud e SSH, token Kubernetes, variabili d’ambiente, token per repository e pubblicazione di pacchetti, oltre alle chiavi dei fornitori di intelligenza artificiale. Il possesso di queste credenziali consente potenzialmente agli aggressori di attraversare più livelli dell’infrastruttura senza dover sfruttare ogni volta una nuova vulnerabilità, moltiplicando le porte disponibili dopo il primo accesso.
Le dimensioni indicate da CloudSEK comprendono anche 434.000 pipeline CI/CD compromesse. Hudson Rock, dopo aver esaminato un file da 195 TB ottenuto nell’ambito dell’indagine, ha pubblicato un archivio da 153 GB contenente materiale esfiltrato. Le due società di sicurezza hanno inoltre predisposto strumenti di ricerca per dominio, attraverso i quali le organizzazioni possono verificare online la propria eventuale esposizione.
Il problema risultava ancora aperto quasi cinque mesi dopo l’attacco. Il ricercatore indipendente Kevin Beaumont ha testato alcune delle chiavi compromesse, scoprendo che erano ancora valide nonostante un’organizzazione coinvolta sostenesse di averne completato la rotazione. La persistenza di credenziali funzionanti mostra quanto la risposta a un incidente possa diventare complessa quando i segreti sottratti sono numerosi, distribuiti e incorporati nei processi automatizzati.
Il caso mette sotto pressione i controlli applicati alla software supply chain, soprattutto quando componenti open source vengono acquisiti automaticamente da sistemi collegati ad ambienti critici. La diffusione degli strumenti di AI in più processi aziendali estende ulteriormente la superficie coinvolta: una verifica insufficiente delle dipendenze può esporre non soltanto dati dei clienti, ma anche infrastrutture interne e segreti industriali.