Grafana‑GitHub‑Breach im Mai 2026: Ein übersehener Token öffnete Angreifern die Tür

Diese Versionen enthielten eine Malware namens Mini Shai‑Hulud, die Entwicklerumgebungen analysiert und sensible Tokens aus Tools wie GitHub Actions oder anderen CI‑Systemen abgreift.

Sicherheitsforscher stellten später fest, dass sich die Kampagne schnell ausbreitete: mehr als 160 Pakete in npm und PyPI wurden kompromittiert, viele davon in weit verbreiteten Entwickler‑Werkzeugen.

Wie ein GitHub‑Token bei Grafana kompromittiert wurde

Grafanas interne Untersuchung ergab, dass eines der manipulierten TanStack‑Pakete innerhalb der eigenen Entwicklungsumgebung ausgeführt wurde. Die darin enthaltene Malware stahl einen GitHub‑Workflow‑Token, der in den CI/CD‑Pipelines des Unternehmens verwendet wurde.

Als der Supply‑Chain‑Angriff öffentlich bekannt wurde, begann Grafana damit, Zugangsdaten zu rotieren und Tokens zu erneuern. Dabei wurde jedoch ein einzelner Workflow‑Token übersehen, sodass ein weiterhin gültiger Zugangsschlüssel im Umlauf blieb.

Mit genau diesem Token verschafften sich die Angreifer Zugriff auf Grafanas GitHub‑Umgebung und mehrere interne Repositories.

Welche Daten heruntergeladen wurden

Nach Angaben von Grafana und externen Berichten konnten die Angreifer:

• auf die GitHub‑Umgebung des Unternehmens zugreifen
• das Haupt‑Repository des Grafana‑Quellcodes herunterladen
• zusätzliche interne GitHub‑Repositories mit Dokumentation und Team‑Zusammenarbeit abrufen

Weitere Berichte legen nahe, dass die heruntergeladenen Inhalte auch interne Kollaborationsdaten, Geschäftskontakte und E‑Mail‑Adressen aus diesen Repositories enthielten.

Grafana betonte jedoch, dass die Untersuchung keinen Zugriff auf Kundendaten oder persönliche Informationen ergeben habe.

Der anschließende Erpressungsversuch

Nachdem die Angreifer die Repositories kopiert hatten, stellten sie eine Lösegeldforderung und drohten mit der Veröffentlichung der gestohlenen Daten.

Grafana bestätigte diese Forderung, lehnte jedoch eine Zahlung ab. Öffentliche Berichte rekonstruieren den Ablauf ungefähr so:

• 11. Mai 2026: Verdächtige Aktivitäten werden entdeckt, Incident‑Response beginnt
• 16. Mai 2026: Angreifer stellen eine Erpressungsforderung

Das Unternehmen sperrte die kompromittierten Zugangsdaten unmittelbar nach der Entdeckung und startete eine forensische Untersuchung.

Warum laut Grafana keine Kunden betroffen waren

Grafana betonte mehrfach, dass sich der Vorfall auf die GitHub‑Umgebung beschränkte und nicht auf operative Systeme.

Nach Angaben des Unternehmens ergab die Untersuchung:

• Produktionssysteme und die Grafana‑Cloud‑Infrastruktur wurden nicht kompromittiert
• Kundenumgebungen und laufende Dienste blieben unbeeinträchtigt
• Es gibt keine Hinweise auf Zugriff auf Kundendaten oder personenbezogene Informationen

Der Angriff zielte also primär auf Quellcode und interne GitHub‑Dokumentation, nicht auf produktive Plattform‑Systeme.

Warum der Code offenbar nicht verändert wurde

Grafana erklärte, dass die Angreifer zwar Repositories heruntergeladen hätten, aber keine Änderungen am Quellcode vorgenommen wurden.

Die beobachteten Aktivitäten beschränkten sich auf unbefugten Zugriff und Datenexfiltration. Hinweise darauf, dass Releases manipuliert oder Produktionssoftware verändert wurden, fanden sich laut Unternehmen nicht. Allerdings stützen sich externe Beobachter hier hauptsächlich auf die internen forensischen Ergebnisse von Grafana, da detaillierte unabhängige Analysen nicht öffentlich vorliegen.

Ein Beispiel für moderne Supply‑Chain‑Angriffe

Der Grafana‑Vorfall zeigt eine typische Angriffskette moderner Supply‑Chain‑Operationen.

Die Mini‑Shai‑Hulud‑Kampagne verbreitete sich über manipulierte Pakete in Entwickler‑Ökosystemen und zielte gezielt auf Maintainer, Entwickler und CI‑Umgebungen ab.

Die typische Abfolge sah so aus:

1. Manipulierte Paketversionen werden in legitimen Paket‑Registries veröffentlicht.
2. Entwickler‑ oder CI‑Umgebungen installieren und führen diese Pakete aus.
3. Die Malware stiehlt Zugangsdaten und Tokens.
4. Angreifer nutzen diese Tokens für den Zugriff auf Code‑Hosting‑Plattformen wie GitHub.
5. Daten werden exfiltriert und anschließend für Erpressungsversuche genutzt.

Grafana wurde zu einem der prominenteren Opfer dieser Angriffskette, als ein gestohlener CI‑Token in Kombination mit einer einzigen übersehenen Credential‑Rotation den Zugriff auf interne Repositories ermöglichte.

Der Vorfall zeigt, wie stark sich moderne Angriffe auf die Software‑Entwicklungspipeline selbst konzentrieren – dort können gestohlene CI‑Tokens und Automatisierungs‑Credentials direkten Zugang zu Quellcode und internen Systemen ermöglichen.