Grafana sufrió una brecha de seguridad debido a un ataque de cadena de suministro en paquetes de npm (TanStack), que permitió el robo de tokens de GitHub. Aunque rotaron la mayoría, un token omitido permitió a los atacantes acceder a repositorios privados y robar código fuente e información operativa. La empresa aseguró que no hubo impacto en los datos de producción de los clientes ni modificaciones en el código descargable.

La brecha de datos de Grafana fue causada por un único token de flujo de trabajo de GitHub que se omitió durante el proceso de rotación tras el ataque a la cadena de suministro de npm de TanStack la semana pasada.

En la campaña de malware Shai-Hulud en curso, atribuida a los hackers de TeamPCP, se publicaron en el índice de npm docenas de paquetes de TanStack infectados con código de robo de credenciales, comprometiendo entornos de desarrolladores, incluido el de Grafana.

Cuando se lanzó el paquete malicioso de npm, el flujo de trabajo CI/CD de Grafana lo consumió y el módulo de robo de información se ejecutó en su entorno de GitHub, exfiltrando tokens de flujo de trabajo de GitHub a los atacantes.

La empresa explica que detectó actividad maliciosa resultante de los paquetes comprometidos de TanStack el 1 de mayo e implementó inmediatamente el plan de respuesta a incidentes, que incluyó la rotación de los tokens de flujo de trabajo de GitHub.

Sin embargo, un token fue omitido en el proceso y el atacante lo utilizó para obtener acceso a los repositorios privados de la empresa.

“Realizamos análisis y rotamos rápidamente un número significativo de tokens de flujo de trabajo de GitHub, pero un token omitido permitió que los atacantes accedieran a nuestros repositorios de GitHub”, indica la actualización de Grafana.

“Una revisión posterior confirmó que un flujo de trabajo de GitHub específico que originalmente consideramos no afectado había sido, de hecho, comprometido”.

Previamente, la empresa confirmó que los intrusos robaron el código fuente, asegurando que no hubo impacto en los clientes y afirmando que los hackers no recibirían ningún pago de rescate.

La investigación continua reveló que el intruso también descargó información operativa y detalles que Grafana utiliza para su negocio.

"Esto incluye nombres de contactos comerciales y direcciones de correo electrónico que se intercambiarían en un contexto de relación profesional, no información extraída o procesada a través del uso de sistemas de producción o de la plataforma Grafana Cloud" - Grafana

La empresa subraya que no se trató de datos de producción de clientes y, según la última evidencia e investigación, no se han visto comprometidos los sistemas ni las operaciones de producción de los clientes.

Grafana Labs también señaló que su base de código no fue modificada durante el incidente, por lo que el código que los usuarios descargaron durante los eventos se considera seguro y los usuarios no necesitan tomar ninguna medida.

Si esa evaluación cambia basándose en nuevas pruebas de la investigación en curso, Grafana Labs prometió notificar directamente a los clientes afectados.

Fuente:
BleepingComputer