Festnahmen nach dem Angriff auf LiteLLM
Australische Ermittler haben in Perth zwei Männer im Alter von 21 und 23 Jahren festgenommen. Sie sollen zur international agierenden Cybercrime-Gruppe TeamPCP gehören. An den Ermittlungen war auch das FBI beteiligt.
TeamPCP wird für den Lieferkettenangriff auf LiteLLM im März dieses Jahres verantwortlich gemacht. LiteLLM ist eine verbreitete Open-Source-Bibliothek, mit der Unternehmen Zugriffe auf unterschiedliche Sprachmodelle zentral steuern können.
Bei dem Angriff wurden manipulierte Pakete über den Python Package Index verbreitet. PyPI ist das zentrale öffentliche Paketverzeichnis für Python. Automatisierte Build-Systeme luden die schädlichen Pakete massenhaft herunter und integrierten sie in laufende Entwicklungsprozesse.
Mehr als 500.000 Zugangsdaten gestohlen
Die bisher veröffentlichten Zahlen deuten auf einen erheblichen Schaden hin. Die Angaben zu kompromittierten Organisationen und betroffenen Unternehmen beziehen sich auf unterschiedliche Teile beziehungsweise Reichweiten der mutmaßlichen Kampagne.
| Kennzahl | Bekannter Stand |
|---|---|
| Festgenommene | 2 Männer, 21 und 23 Jahre alt |
| Potenziell kompromittierte Organisationen | Über 1.000 weltweit |
| Vom LiteLLM-Angriff betroffene Unternehmen | Mehr als 2.500 |
| Mutmaßlich gestohlene Zugangsdaten | Über 500.000 |
| Mutmaßlich entwendete Daten | Mindestens 300 GB |
| Vorgeworfene Straftaten | 14 |
| Möglicher Strafrahmen | Jeweils 3 bis 20 Jahre Haft |
Welche konkreten Unternehmen betroffen sind, wurde nicht offengelegt. Ebenso ist bislang nicht bestätigt, ob Organisationen aus Deutschland, Österreich oder der Schweiz kompromittiert wurden.
Vorwürfe reichen von Computerkriminalität bis Geldwäsche
Den Beschuldigten werden insgesamt 14 Straftaten vorgeworfen. Dazu gehören mutmaßliche Computerkriminalität, unbefugte Datenveränderung sowie Geldwäsche im großen Stil. Bis zu einer gerichtlichen Entscheidung gilt die Unschuldsvermutung.
Die australischen Ermittler bezeichnen die Festgenommenen als „international bedeutende Akteure im Bereich der Cyberkriminalität“.
Der Kautionsantrag des 21-Jährigen wurde abgelehnt. Der nächste Gerichtstermin ist für den 18. September angesetzt. Ermittler werten weiterhin beschlagnahmte Datenträger aus und schließen zusätzliche Festnahmen nicht aus.
Open Source verlagert Verantwortung ins Unternehmen
Der Vorfall zeigt ein wesentliches Risiko eigener KI-Infrastruktur. Open Source und Self-Hosting können Abhängigkeiten von teuren SaaS-Anbietern reduzieren. Gleichzeitig liegt die Verantwortung für Abhängigkeiten, Build-Pipelines und Zugangsdaten vollständig beim betreibenden Unternehmen.
Besonders kritisch ist, dass der Schadcode über ein etabliertes Paketverzeichnis verteilt wurde. Ein öffentlich verfügbares Paket ist nicht automatisch vertrauenswürdig. Automatisierte Aktualisierungen können einen Angriff zudem schnell über zahlreiche Systeme und Organisationen verteilen.
Die Dimension wurde bereits beim bekannt gewordenen LiteLLM-Angriff auf 434.000 Pipelines sichtbar. Vergleichbare Risiken bestehen auch in anderen Paketökosystemen, wie die manipulierten Rust-Pakete auf crates.io gezeigt haben.
Was Entwicklungsteams prüfen sollten
- Abhängigkeiten auf geprüfte Versionen festschreiben, statt Aktualisierungen ungeprüft zu übernehmen.
- Integritätsprüfungen mit Hashwerten in CI/CD-Pipelines erzwingen. CI/CD bezeichnet die automatisierte Erstellung, Prüfung und Bereitstellung von Software.
- Protokolle automatisierter Builds auf unerwartete Paketdownloads und ausgehende Verbindungen untersuchen.
- Potenziell offengelegte API-Schlüssel, Tokens und andere Zugangsdaten sperren und ersetzen.
- Berechtigungen von Build-Systemen begrenzen, damit ein kompromittiertes Paket nicht auf sämtliche Unternehmensdaten zugreifen kann.
Für Unternehmen im DACH-Raum ist damit nicht belegt, dass eigene Systeme betroffen waren. Wer LiteLLM oder verwandte Python-Komponenten eingesetzt hat, sollte den Vorfall dennoch zum Anlass nehmen, Abhängigkeiten und Build-Protokolle gezielt zu kontrollieren. Die wirtschaftliche Alternative zum SaaS-Abo bleibt tragfähig, setzt aber professionelle Lieferkettensicherheit voraus.