LiteLLM सप्लाई-चेन बैकडोर क्रेडेंशियल चुराता है, FCC विदेशी राउटर पर प्रतिबंध, HackerOne और डच मंत्रालय में सेंधमारी

TeamPCP ने लोकप्रिय LiteLLM AI प्रॉक्सी पैकेज को तीन-चरणीय क्रेडेंशियल हार्वेस्टर, Kubernetes लेटरल मूवमेंट टूलकिट और स्थायी systemd बैकडोर से समझौता किया। FCC ने अमेरिका के बाहर बने सभी उपभोक्ता राउटर पर प्रतिबंध लगाया। HackerOne ने तृतीय-पक्ष Navia हैक के माध्यम से कर्मचारी डेटा उल्लंघन का खुलासा किया। डच वित्त मंत्रालय ने कर्मचारियों को प्रभावित करने वाली सेंधमारी की पुष्टि की। PTC ने आसन्न शोषण खतरे के तहत Windchill में गंभीर RCE की चेतावनी दी।

1. TeamPCP ने LiteLLM AI प्रॉक्सी पैकेज में बैकडोर डाला — तीन-चरणीय हमला श्रृंखला

TeamPCP खतरा समूह — जो पहले से Trivy और KICS समझौतों के लिए जिम्मेदार है — ने अब LiteLLM पर हमला किया है, जो प्रदाताओं में LLM API कॉल को रूट करने के लिए सबसे व्यापक रूप से उपयोग किए जाने वाले Python पैकेजों में से एक है। यह समझौता संभवतः LiteLLM द्वारा अपनी CI/CD पाइपलाइन में Trivy के उपयोग के माध्यम से संभव हुआ, जिससे एक कैस्केडिंग सप्लाई-चेन हमला बना।

दुर्भावनापूर्ण पेलोड एक तीन-चरणीय हमला निष्पादित करता है:

• चरण 1 — क्रेडेंशियल हार्वेस्टर: होस्ट सिस्टम से SSH कुंजियां, क्लाउड प्रदाता क्रेडेंशियल (AWS, GCP, Azure), Kubernetes सीक्रेट्स, क्रिप्टोकरेंसी वॉलेट और .env फाइलें स्कैन करता है
• चरण 2 — Kubernetes लेटरल मूवमेंट: क्लस्टर के प्रत्येक नोड पर विशेषाधिकार प्राप्त पॉड तैनात करता है, जिससे एक प्रवेश बिंदु से पूरे क्लस्टर का समझौता संभव हो जाता है
• चरण 3 — स्थायी बैकडोर: एक systemd सेवा (sysmon.service) स्थापित करता है जो अतिरिक्त बाइनरी के लिए checkmarx[.]zone/raw को पोल करता है, दीर्घकालिक दूरस्थ पहुंच प्रदान करता है

यह विशेष रूप से खतरनाक क्यों है

LiteLLM AI इंफ्रास्ट्रक्चर के केंद्र में बैठता है — यह एप्लिकेशन और OpenAI, Anthropic और Azure जैसे LLM प्रदाताओं के बीच गेटवे है। LiteLLM को समझौता करने का मतलब है कि हमलावर संभावित रूप से हर LLM प्रदाता की API कुंजियों तक पहुंच प्राप्त करते हैं जिनका एक संगठन उपयोग करता है, साथ ही उन API कॉल के माध्यम से बहने वाले संवेदनशील डेटा तक। Kubernetes वातावरण में LiteLLM चलाने वाले संगठनों को पूर्ण क्लस्टर समझौता का अतिरिक्त जोखिम है।

दोनों दुर्भावनापूर्ण संस्करणों को PyPI से हटा दिया गया है, लेकिन प्रकाशन और हटाने के बीच उन्हें स्थापित करने वाला कोई भी सिस्टम समझौता हो सकता है।

तत्काल कार्रवाई

• जांचें कि LiteLLM संस्करण 1.82.7 या 1.82.8 स्थापित थे या नहीं — pip show litellm चलाएं और डिप्लॉयमेंट लॉग जांचें
• उन सभी होस्ट पर sysmon.service systemd यूनिट खोजें जहां LiteLLM चलाया गया था
• प्रभावित सिस्टम पर सभी API कुंजियां, क्लाउड क्रेडेंशियल और SSH कुंजियां तुरंत रोटेट करें
• अनधिकृत विशेषाधिकार प्राप्त पॉड के लिए Kubernetes क्लस्टर का ऑडिट करें
• नेटवर्क लॉग में checkmarx[.]zone के आउटबाउंड कनेक्शन की समीक्षा करें
• सभी Python निर्भरताओं को सत्यापित हैश पर पिन करें — सुरक्षा-महत्वपूर्ण पैकेज के लिए वर्शन रेंज का उपयोग बंद करें

2. FCC ने संयुक्त राज्य अमेरिका के बाहर बने सभी उपभोक्ता राउटर पर प्रतिबंध लगाया

अमेरिकी नियामक द्वारा अब तक की सबसे आक्रामक हार्डवेयर सुरक्षा कार्रवाइयों में से एक में, FCC ने प्रभावी रूप से संयुक्त राज्य अमेरिका के बाहर बने नए उपभोक्ता राउटर की बिक्री पर प्रतिबंध लगा दिया है। अपडेटेड कवर्ड लिस्ट में अब विदेशी देशों में निर्मित सभी उपभोक्ता रूटिंग उपकरण शामिल हैं, चाहे उन्हें बेचने वाला ब्रांड कोई भी हो।

यह निर्णय नेटवर्किंग उपकरणों में राज्य-प्रायोजित बैकडोर के बारे में वर्षों की बढ़ती चिंताओं के बाद आया है:

• Salt Typhoon: चीनी राज्य-समर्थित अभिनेताओं ने राउटर-स्तर के इम्प्लांट के माध्यम से प्रमुख अमेरिकी दूरसंचार इंफ्रास्ट्रक्चर को समझौता किया
• Volt Typhoon: चीनी APT ने समझौता किए गए SOHO राउटर का उपयोग करके अमेरिकी महत्वपूर्ण इंफ्रास्ट्रक्चर में पूर्व-स्थापन किया
• IoT बॉटनेट महामारी: हार्डकोडेड क्रेडेंशियल और अनपैच्ड फर्मवेयर वाले विदेश-निर्मित राउटर बड़े पैमाने पर बॉटनेट की रीढ़ रहे हैं

वैश्विक प्रभाव

हालांकि यह एक अमेरिका-विशिष्ट कार्रवाई है, यह साइबर सुरक्षा में हार्डवेयर संप्रभुता की ओर व्यापक प्रवृत्ति का संकेत देती है। EU का Cyber Resilience Act (CRA) एक अलग दृष्टिकोण अपनाता है — विदेशी हार्डवेयर पर प्रतिबंध लगाने के बजाय, यह EU में बेचे जाने वाले सभी कनेक्टेड उपकरणों के लिए सुरक्षा आवश्यकताओं को अनिवार्य करता है। दोनों दृष्टिकोण एक ही अंतर्निहित वास्तविकता को दर्शाते हैं: नेटवर्क परिधि राउटर से शुरू होती है, और अपारदर्शी विदेशी सप्लाई चेन पर भरोसा करना अब स्वीकार्य नहीं है।

NIS2 के अधीन EU संगठनों के लिए, यह अपने नेटवर्क हार्डवेयर सप्लाई चेन का ऑडिट करने का एक अनुस्मारक है। भले ही EU स्पष्ट रूप से विदेशी राउटर पर प्रतिबंध नहीं लगाता है, NIS2 अनुच्छेद 21 की सप्लाई-चेन सुरक्षा आवश्यकताओं का मतलब है कि आपको अपने नेटवर्क सीमाओं की सुरक्षा करने वाले हार्डवेयर पर उचित परिश्रम प्रदर्शित करना होगा।

3. HackerOne ने Navia Benefits हैक के बाद कर्मचारी डेटा उल्लंघन का खुलासा किया

HackerOne, दुनिया का सबसे बड़ा बग बाउंटी प्लेटफॉर्म, ने खुलासा किया है कि कर्मचारियों की व्यक्तिगत जानकारी तृतीय-पक्ष लाभ प्रशासक Navia की सेंधमारी के माध्यम से समझौता की गई। सुरक्षा समुदाय से विडंबना छिपी नहीं है — भेद्यता प्रकटीकरण के केंद्र में एक संगठन स्वयं तृतीय-पक्ष सप्लाई-चेन जोखिम का शिकार है जिसे कम करने में यह दूसरों की मदद करता है।

समझौता किए गए डेटा में कथित रूप से शामिल हैं:

• पूरा नाम और जन्म तिथि
• सामाजिक सुरक्षा नंबर
• लाभ नामांकन जानकारी
• आश्रित जानकारी

तृतीय-पक्ष जोखिम का सबक

यह उल्लंघन पूरी तरह से दर्शाता है कि NIS2 अनुच्छेद 21(2)(d) सप्लाई-चेन सुरक्षा प्रबंधन को अनिवार्य क्यों करता है। HackerOne की अपनी सुरक्षा स्थिति मजबूत है — आखिरकार, वे वह प्लेटफॉर्म हैं जहां शोधकर्ता अन्य संगठनों में भेद्यताओं की रिपोर्ट करते हैं। लेकिन उनके कर्मचारियों का डेटा एक लाभ प्रदाता के माध्यम से समझौता किया गया जिस पर उनकी संभवतः सीमित दृश्यता थी। कोई भी संगठन अपने सबसे कमजोर विक्रेता से मजबूत नहीं है।

तत्काल कार्रवाई

• लाभ प्रशासन के लिए Navia का उपयोग करने वाले संगठनों को उल्लंघन के दायरे के विवरण के लिए सीधे उनसे संपर्क करना चाहिए
• प्रभावित व्यक्तियों को क्रेडिट रिपोर्ट फ्रीज करनी चाहिए और पहचान चोरी निगरानी सक्षम करनी चाहिए
• इसे अपने स्वयं के तृतीय-पक्ष विक्रेताओं का ऑडिट करने के लिए ट्रिगर के रूप में उपयोग करें — उनमें से कौन कर्मचारी PII रखते हैं?
• NIS2 और GDPR आवश्यकताओं के विरुद्ध अपने विक्रेता डेटा प्रवाह का मानचित्रण करें

4. डच वित्त मंत्रालय ने कर्मचारियों को प्रभावित करने वाली सेंधमारी का खुलासा किया

नीदरलैंड वित्त मंत्रालय ने अपने कर्मचारियों को प्रभावित करने वाली सेंधमारी की पुष्टि की है, हालांकि हमले के वेक्टर और दायरे के बारे में विवरण सीमित हैं। यह विशेष रूप से संवेदनशील समय पर आया है क्योंकि नीदरलैंड NIS2 लागू करने और मजबूत सरकारी साइबर सुरक्षा मानकों को आगे बढ़ाने में EU के सबसे आक्रामक सदस्य राज्यों में से एक रहा है।

यह उल्लंघन 2026 में EU सरकारी संस्थानों को लक्षित करने के एक पैटर्न का अनुसरण करता है:

• पोलैंड का NCBJ परमाणु अनुसंधान केंद्र — मार्च में ईरान से जुड़े हैकरों द्वारा लक्षित
• UK Companies House — 5 मिलियन निदेशक रिकॉर्ड को उजागर करने वाला GDPR उल्लंघन
• कई EU नगरपालिकाएं — Q1 भर में रैनसमवेयर अभियानों से प्रभावित

NIS2 प्रासंगिकता

सरकारी संस्थाएं पूरी तरह से NIS2 के दायरे में हैं। डच सरकार निर्देश की एक मुखर समर्थक रही है — यह उल्लंघन रेखांकित करता है कि अच्छी तरह से संसाधन वाली सरकारी एजेंसियां भी लगातार खतरों का सामना करती हैं। यह घटना संभवतः नीदरलैंड की पहले से आक्रामक NIS2 कार्यान्वयन समयरेखा को तेज करेगी और अन्य सदस्य राज्यों के सरकारी क्षेत्र अनुपालन दृष्टिकोण को प्रभावित कर सकती है।

5. PTC ने आसन्न खतरे के तहत Windchill और FlexPLM में गंभीर RCE की चेतावनी दी

PTC Windchill और FlexPLM एंटरप्राइज उत्पाद जीवनचक्र प्रबंधन (PLM) प्लेटफॉर्म हैं जिनका उपयोग दुनिया भर के प्रमुख निर्माताओं और रक्षा ठेकेदारों द्वारा उत्पाद डिजाइन, इंजीनियरिंग डेटा और सप्लाई-चेन दस्तावेज़ीकरण प्रबंधित करने के लिए किया जाता है। एक गंभीर रिमोट कोड निष्पादन भेद्यता अब इन वातावरणों को खतरा दे रही है।

PTC द्वारा अपनी सलाह में "आसन्न" शब्द का उपयोग उल्लेखनीय है — यह सुझाव देता है कि सक्रिय शोषण प्रयास पहचाने गए हैं या प्रूफ-ऑफ-कॉन्सेप्ट कोड प्रसारित हो रहा है। विनिर्माण, एयरोस्पेस, रक्षा और ऑटोमोटिव में संगठनों के लिए, यह एक आपातकालीन पैच स्थिति है।

PLM सिस्टम उच्च-मूल्य लक्ष्य क्यों हैं

• बौद्धिक संपदा: PLM सिस्टम में उत्पाद डिजाइन, इंजीनियरिंग विनिर्देश और व्यापार रहस्य होते हैं
• सप्लाई-चेन डेटा: विक्रेता संबंध, घटक सोर्सिंग और विनिर्माण प्रक्रियाएं
• अनुपालन दस्तावेज़ीकरण: प्रमाणपत्र, सुरक्षा परीक्षण परिणाम और नियामक फाइलिंग
• राष्ट्र-राज्य रुचि: राज्य-प्रायोजित समूहों (विशेष रूप से चीनी APT) ने ऐतिहासिक रूप से औद्योगिक जासूसी के लिए PLM सिस्टम को लक्षित किया है

तत्काल कार्रवाई

• PTC का आपातकालीन पैच तुरंत लागू करें — रखरखाव विंडो की प्रतीक्षा न करें
• यदि पैचिंग तुरंत संभव नहीं है, तो Windchill/FlexPLM सर्वर तक नेटवर्क पहुंच केवल विश्वसनीय आंतरिक नेटवर्क तक सीमित करें
• PLM डेटा तक असामान्य पहुंच पैटर्न की निगरानी करें — बल्क डाउनलोड, कार्य-समय के बाद पहुंच, या अप्रत्याशित उपयोगकर्ता खातों से क्वेरी
• प्रमाणीकरण कॉन्फ़िगरेशन की समीक्षा करें — सुनिश्चित करें कि सभी PLM पहुंच के लिए MFA लागू है

6. ShinyHunters द्वारा डेटा चोरी के दावे के बाद Infinite Campus ने उल्लंघन की चेतावनी दी

Infinite Campus संयुक्त राज्य अमेरिका में सबसे व्यापक रूप से उपयोग की जाने वाली छात्र सूचना प्रणालियों (SIS) में से एक है, जो लाखों K-12 छात्रों के रिकॉर्ड प्रबंधित करती है जिसमें ग्रेड, उपस्थिति, स्वास्थ्य रिकॉर्ड, अनुशासनात्मक रिकॉर्ड और परिवार संपर्क जानकारी शामिल है। ShinyHunters समूह — Ticketmaster, AT&T और Santander सहित उच्च-प्रोफ़ाइल उल्लंघनों के लिए जाना जाता है — जिम्मेदारी का दावा कर रहा है।

छात्र डेटा विशेष रूप से संवेदनशील है क्योंकि:

• नाबालिगों का डेटा: बच्चे अपने स्वयं के क्रेडिट या पहचान की निगरानी नहीं कर सकते, जिससे वे दीर्घकालिक पहचान धोखाधड़ी के प्रमुख लक्ष्य बन जाते हैं
• FERPA प्रभाव: अमेरिकी संघीय कानून छात्र शिक्षा रिकॉर्ड की सख्त सुरक्षा की आवश्यकता है
• पारिवारिक डेटा एक्सपोज़र: माता-पिता/अभिभावक जानकारी में पते, फोन नंबर, आपातकालीन संपर्क और कभी-कभी मुफ्त/रियायती दोपहर के भोजन कार्यक्रमों के लिए वित्तीय डेटा शामिल हैं

तत्काल कार्रवाई

• Infinite Campus का उपयोग करने वाले स्कूल जिलों को उल्लंघन के दायरे और मार्गदर्शन के लिए विक्रेता से संपर्क करना चाहिए
• प्रभावित छात्रों के लिए क्रेडिट रिपोर्ट फ्रीज करने पर विचार करें — हां, बच्चे भी पहचान चोरी के शिकार हो सकते हैं
• स्कूल सूचनाओं के विषय पर संभावित फिशिंग अभियानों के बारे में माता-पिता को जानकारी दें

7. Yanluowang रैनसमवेयर एक्सेस ब्रोकर को 81 महीने की सजा

Yanluowang समूह ने 2022 में Cisco पर हमला करके कुख्याति प्राप्त की और वित्त, विनिर्माण और प्रौद्योगिकी में उद्यमों को लक्षित किया है। यह सजा रैनसमवेयर प्रतिभागियों के लिए बढ़ते कानूनी परिणामों की व्यापक प्रवृत्ति का हिस्सा है, जो धीरे-धीरे साइबर अपराधियों के लिए जोखिम गणना को बदल रही है।

8. नकली रिज़्यूमे फिशिंग अभियान फ्रांसीसी-भाषी उद्यमों को लक्षित करता है

Securonix शोधकर्ताओं ने FAUX#ELEVATE अभियान का खुलासा किया है, जो फ्रांसीसी-भाषी संगठनों को नकली रिज़्यूमे दस्तावेजों के साथ लक्षित करता है जो क्रेडेंशियल चोरी, डेटा एक्सफ़िल्ट्रेशन और Monero माइनिंग को संयोजित करने वाला ट्रिपल-थ्रेट पेलोड तैनात करते हैं। यह अभियान वैध सेवाओं के दुरुपयोग के लिए उल्लेखनीय है:

• Dropbox: पेलोड स्टेजिंग के लिए उपयोग — URL-आधारित फ़िल्टरिंग को बाइपास करता है
• मोरक्को WordPress साइटें: कमांड-एंड-कंट्रोल इंफ्रास्ट्रक्चर के रूप में कार्य करती हैं — वैध ट्रैफ़िक के साथ मिल जाती हैं
• Mail.ru SMTP: चोरी किए गए ब्राउज़र क्रेडेंशियल और डेस्कटॉप फ़ाइलों को एक्सफ़िल्ट्रेट करने के लिए उपयोग किया जाता है

DACH संगठनों के लिए

हालांकि यह अभियान वर्तमान में फ्रांसीसी-भाषी वातावरण को लक्षित करता है, जर्मन-भाषी संगठनों को लक्षित करने वाले समान अभियान संभावित हैं। कई भाषाओं में आवेदन संसाधित करने वाले HR विभागों को विशेष रूप से सतर्क रहना चाहिए। हमले का पैटर्न — नौकरी आवेदन के रूप में भेजे गए हथियारबद्ध दस्तावेज — एक प्रसिद्ध वेक्टर है जो लगातार सफल होता है क्योंकि HR टीमों को अज्ञात प्रेषकों से अटैचमेंट खोलने होते हैं।

तत्काल कार्रवाई

• ईमेल अटैचमेंट में VBScript निष्पादन को ब्लॉक करें या सैंडबॉक्स करें — रिज़्यूमे में VBScript होने का वस्तुतः कोई वैध कारण नहीं है
• HR वर्कस्टेशन के लिए एप्लिकेशन व्हाइटलिस्टिंग लागू करें
• डिलीवरी से पहले सभी नौकरी आवेदन अटैचमेंट को सैंडबॉक्स डेटोनेशन के माध्यम से रूट करें
• HR टीमों को इस विशिष्ट अभियान पैटर्न के बारे में जानकारी दें

आज के खतरे परिदृश्य का सारांश