Grafana Labs Sicherheitsvorfall: Hacker greifen GitHub an und entführen Codebasis

Die Vorgehensweise des Angreifers war durchdacht und methodisch. Indem er ein Grafana-Repository forkt, bösartigen Code über einen curl-Befehl injiziert und Umgebungsvariablen in eine mit einem privaten Schlüssel verschlüsselte Datei entlädt, gelang es dem Bedrohungsakteur, privilegierte Tokens zu extrahieren.

Der Angreifer löschte daraufhin seinen Fork, um seine Spuren zu verwischen, und nutzte die kompromittierten Zugangsdaten, um den Angriff auf vier weitere private Repositories zu wiederholen. Nach dem Herunterladen des privaten Codebases zur Erpressung, bei der Zahlung gefordert wurde, im Gegenzug für die Nichtveröffentlichung des gestohlenen Codes.

Unter Berufung auf die veröffentlichten Leitlinien des FBI, wonach die Zahlung eines Lösegelds weder garantiert, dass Sie oder Ihre Organisation Daten zurückbekommen, noch lediglich einen Anreiz für andere bietet, sich an dieser Art illegaler Tätigkeit zu beteiligen, entschied sich das Unternehmen, dass die Nichtzahlung der richtige Weg nach vorne ist.

Markt und Strategie

Das Unternehmen teilte mit, dass seine Untersuchung ergeben habe, dass während des Vorfalls keine Kundendaten oder personenbezogene Informationen abgerufen wurden und keine Anhaltspunkte für Auswirkungen auf Kundensysteme oder -operationen vorliegen.

Unsere Untersuchung hat ergeben, dass während dieses Vorfalls keine Kundendaten oder personenbezogenen Informationen abgerufen wurden, und wir haben keine Hinweise auf Auswirkungen auf Kundensysteme oder -operationen gefunden. (2/6) Das Sicherheitsteam, um den Vorfall einzudämmen.

Die kompromittierten Zugangsdaten wurden sofort ungültig gemacht, das anfällige GitHub Action entfernt, und alle Workflows in öffentlichen Repositories wurden deaktiviert. Das Vorfall hat die Debatte in der Community über die Sicherheit /CD-Pipelines und Risiken in der Software-Supply Chain erneut entfacht.

Sicherheitslage und Risiko

Sicherheitsforscher stellten fest, dass der Angriffsvektor – ein falsch konfiguriertes `pull_request_target`-Workflow – eine weit unterschätzte Angriffsfläche im Open-Source-Ökosystem darstellt.

Die Verletzung löste unterschiedliche Reaktionen online aus: Viele lobten Grafana für die schnelle Transparenz, während andere ironisch darauf hinwiesen, dass ein Unternehmen, das sich auf Observability konzentriert, Warnungen für seine eigene Infrastruktur übersehen hat.

Grafana Labs hat bestätigt, dass es zusätzliche Erkenntnisse aus seiner Nachuntersuchung nach Abschluss der Ermittlungen wird, was sein Engagement für Transparenz gegenüber der Entwickler- und Sicherheitscommunity unterstreicht. Sie uns auf