हमलावरों ने @tanstack नेमस्पेस के दर्जनों पैकेजों को प्रभावित किया। उन्होंने प्रोजेक्ट के CI/CD पाइपलाइन को हाइजैक कर मैलिशियस वर्ज़न प्रकाशित किए।
इन पैकेजों में Mini Shai‑Hulud नाम का क्रेडेंशियल‑स्टीलिंग मालवेयर छिपा था। यह डेवलपर वातावरण की जानकारी इकट्ठा करता है और GitHub Actions जैसे CI टूल्स से टोकन और अन्य संवेदनशील क्रेडेंशियल चुरा सकता है।
बाद की जांच में सामने आया कि इस अभियान ने तेज़ी से फैलकर npm और PyPI के 160 से अधिक पैकेजों को प्रभावित किया और कई लोकप्रिय डेवलपर टूल्स तक पहुंच गया।
Grafana की जांच में पाया गया कि TanStack का एक संक्रमित npm पैकेज उसके डेवलपमेंट वातावरण में चला। उस पैकेज के अंदर मौजूद क्रेडेंशियल‑स्टीलर ने GitHub workflow token कैप्चर कर लिया जो Grafana के CI/CD सिस्टम में इस्तेमाल होता था।
जब सप्लाई‑चेन अटैक सामने आया, Grafana ने अपने क्रेडेंशियल्स को रोटेट करना शुरू किया। लेकिन इस प्रक्रिया में एक GitHub workflow token रोटेट नहीं हो पाया।
यही सक्रिय टोकन हमलावरों के हाथ लग गया और उन्होंने उसी के जरिए Grafana के GitHub वातावरण और रिपॉज़िटरी तक अनधिकृत पहुंच बना ली।
Grafana और बाहरी रिपोर्टों के अनुसार हमलावरों ने:
कुछ रिपोर्टों के मुताबिक डाउनलोड किए गए डेटा में आंतरिक सहयोग रिपॉज़िटरी, व्यापारिक संपर्क और ईमेल पते भी शामिल हो सकते हैं।
डेटा डाउनलोड करने के बाद हमलावरों ने Grafana से संपर्क कर रैनसम डिमांड भेजी और कहा कि अगर भुगतान नहीं किया गया तो चोरी किया गया डेटा सार्वजनिक कर दिया जाएगा।
उपलब्ध रिपोर्टों के अनुसार घटनाक्रम कुछ इस प्रकार रहा:
Grafana ने मांग को मानने से इनकार किया और तुरंत चोरी हुए क्रेडेंशियल्स को अमान्य कर दिया। साथ ही फॉरेंसिक जांच शुरू की गई।
Grafana ने स्पष्ट किया कि यह घटना सिर्फ उसके GitHub वातावरण तक सीमित थी, न कि उसके प्रोडक्शन इंफ्रास्ट्रक्चर तक।
कंपनी की जांच के अनुसार:
इसलिए यह घटना मुख्य रूप से GitHub पर रखे सोर्स कोड और आंतरिक दस्तावेज़ों तक सीमित रही।
घटना के दौरान देखी गई गतिविधि मुख्य रूप से अनधिकृत एक्सेस और डेटा एक्सफिल्ट्रेशन से जुड़ी थी, न कि कोड रिलीज़ या प्रोडक्शन सिस्टम में छेड़छाड़ से। हालांकि बाहरी विशेषज्ञ इस निष्कर्ष के लिए मुख्य रूप से Grafana की आंतरिक जांच रिपोर्ट पर ही निर्भर हैं क्योंकि विस्तृत स्वतंत्र फॉरेंसिक डेटा सार्वजनिक नहीं किया गया है।
Grafana का मामला आधुनिक सॉफ्टवेयर सप्लाई‑चेन हमलों के एक सामान्य पैटर्न को दिखाता है।
Mini Shai‑Hulud अभियान ने डेवलपर इकोसिस्टम में लोकप्रिय पैकेजों को संक्रमित कर डेवलपर्स और कंपनियों के CI/CD वातावरण को निशाना बनाया।
इस तरह के हमले अक्सर इस क्रम में होते हैं:
Grafana का मामला दिखाता है कि सिर्फ एक छूटा हुआ टोकन भी बड़े सुरक्षा जोखिम का कारण बन सकता है — खासकर तब जब हमलावर पहले ही डेवलपमेंट पाइपलाइन तक पहुंच बना चुके हों।
Comments
0 comments