3.3 万个暴露的 LiteLLM 部署与 TeamPCP 供应链攻击背后的 C2 服务器

LiteLLM 供应链投毒事件：维护者 GitHub 账号失陷后，PyPI 上的 1.82.7/1.82.8 版本被注入恶意代码，将凭据外传至攻击者服务器；作为 LLM 凭据代理，该事件会波及企业全部 LLM 供应商接口，官方已隔离版本并轮换密钥。

TeamPCP 投毒 LiteLLM 的 PyPI 版本 1.82.7/1.82.8：滥用 Python .pth 机制在解释器启动时执行双层 base64 载荷，窃取并外传云凭证与 CI/CD 机密；1.82.8 会在任何 Python 进程中被触发，隐蔽且持久。

TeamPCP 供应链攻击再升级：Microsoft 官方 Python Durable Task 客户端 durabletask 1.4.1–1.4.3 被投毒，攻击者利用被入侵账号导出 GitHub secrets 中存放的 PyPI Token 直接发布恶意版本，载荷具备凭证窃取与 AWS SSM 横向传播能力。

Wiz CIRT 追踪 TeamPCP 如何把 Trivy、KICS、LiteLLM 供应链攻击中窃取的密钥转化为云入侵：先用 TruffleHog 验证凭证有效性，随后数小时内侦察受害环境并外传更多数据，速度之快指向同一批威胁行为者。

2023 年软件供应链攻击集中于三类：包管理器攻击（PyPI、npm 上的依赖混淆与 typosquatting，npm 恶意包一年从约 5000 涨至近 7000）、开发者凭据失陷、大型软件厂商被入侵，并给出防御建议。

从 typosquatting 仿冒包、维护者账号失陷、构建管道投毒到 XZ Utils 后门，供应链攻击系统性利用了 cargo add、pip install 背后的隐式信任。文章分析近年典型攻击手法，并介绍 TypoGard、Zizmor、PyPI Trusted Publishing、Go Capslock 等将隐式信任转化为可验证保证的新工具。