Mobile-Menu

Mini-Shai-Hulud-Kampagne trifft Grafana Labs Grafana Labs lehnt Lösegeldzahlung nach Quellcode-Diebstahl ab

Von Thomas Joos 2 min Lesedauer

Anbieter zum Thema

Fujitsu Technology Solutions GmbH
FTAPI Software GmbH
Onapsis Europe GmbH

Über ein manipuliertes TanStack-npm-Paket der Mini-Shai-Hulud-Kam­pa­gne gelangen Angreifer in die CI/CD-Pipeline von Grafana Labs und stehlen den kompletten Quellcode aus GitHub-Repositories. Das Unternehmen lehnt die Lösegeld­for­de­rung ab und informiert US-Bundesbehörden. Produktionssysteme und die Grafana-Cloud-Plattform bleiben nach Firmenangaben unberührt.

Ein übersehener Workflow-Token der Mini-Shai-Hulud-Kampagne gibt Angreifern Zugriff auf Grafanas Quellcode. Das Unternehmen lehnt Lösegeld ab und informiert US-Behörden.(Bild: Gemini / KI-generiert)
Ein übersehener Workflow-Token der Mini-Shai-Hulud-Kampagne gibt Angreifern Zugriff auf Grafanas Quellcode. Das Unternehmen lehnt Lösegeld ab und informiert US-Behörden.
(Bild: Gemini / KI-generiert)

Grafana Labs führt den Vorfall auf die TanStack-npm-Lieferkettenattacke über die Kampagne Mini Shai-Hulud zurück. Der Anbieter meldet die schädliche Aktivität am 11.05.2026 und startet sein Incident-Response-Verfahren. Am 16.05.2026 bestätigt das Unternehmen den Angriff einer kriminellen Gruppe, die Repositories kopiert und mit der Veröffentlichung der Daten droht.

Token-Diebstahl über die CI/CD-Pipeline

Der Angriff läuft über die Build-Umgebung von Grafana Labs. Ein manipuliertes TanStack-Paket gelangt über npm in die CI/CD-Pipeline und führt dort Code aus, der GitHub-Workflow-Token an die Angreifer überträgt. Grafana Labs rotiert nach dem ersten Befund eine größere Zahl an Token, lässt dabei jedoch einen einzelnen Token aus. Eine spätere Analyse hat gezeigt, dass ein zunächst als unkritisch eingestufter Workflow doch kompromittiert war. Über diesen Restzugang erhielten die Täter Zugriff auf die Repositories und laden den Quellcode herunter.

Erpressung ohne Lösegeldzahlung

Am 16.05.2026 verlangten die Täter ein Lösegeld und drohten mit der Offenlegung der Daten. Grafana Labs lehnte die Zahlung ab und beruft sich auf die Politik des FBI, wonach eine Zahlung keine Sicherheit garantiert und weitere Straftaten finanziert. Das Unternehmen hat daraufhin die US-Bundesbehörden informiert. Dieser Ansatz lässt sich auf europäische Organisationen übertragen, denn eine Zahlung sichert weder die Löschung noch die Vertraulichkeit der erbeuteten Daten.

Begrenzter Schaden, kein Handlungsbedarf für Kunden

Der Vorfall beschränkt sich auf die GitHub-Umgebung mit öffentlichem und privatem Quellcode sowie internen Repositories. Die kopierten Inhalte umfassen zusätzlich interne Betriebsdaten, darunter geschäftliche Kontaktnamen und berufliche E-Mail-Adressen aus dem regulären Geschäftsverkehr. Nach Angaben von Grafana Labs liegen keine Hinweise auf eine Kompromittierung von Kundensystemen vor, der Quellcode bleibt unverändert. Eine unabhängige Bestätigung steht aus. Kunden und Open-Source-Nutzer müssen vorerst nichts unternehmen. Mehr als 7.000 Unternehmen setzen die Observability-Plattform ein, darunter Nvidia, Microsoft und Anthropic.

Absicherung der Entwicklungs-Pipeline

Zur Eindämmung rotiert Grafana Labs sämtliche Automatisierungs-Token, prüft alle Commits seit dem 11.05.2026 und erweitert das Monitoring der GitHub-Umgebung. Die kompromittierten Zugangsdaten sind ungültig, zusätzliche Kontrollen härten die CI/CD-Pipeline gegen eine Wiederholung.

(ID:50856872)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte