Как произошёл взлом Grafana после атаки на npm‑пакеты TanStack

По данным исследователей, злоумышленники, связанные с группой TeamPCP, внедрили вредоносные версии десятков пакетов в пространстве имён @tanstack. Это стало возможным после захвата CI/CD‑процесса проекта и публикации заражённых версий пакетов.

В пакеты был встроен вредоносный модуль Mini Shai‑Hulud — инструмент для кражи учётных данных. Он анализировал среду разработки и извлекал чувствительные токены из различных инструментов, включая системы CI и GitHub Actions.

Позже аналитики выяснили, что кампания быстро распространилась по экосистеме open‑source: более 160 пакетов npm и PyPI оказались затронуты, включая широко используемые инструменты разработки.

Как был украден GitHub‑токен Grafana

В ходе внутреннего расследования Grafana выяснила, что один из заражённых пакетов TanStack был выполнен внутри её среды разработки.

Вредоносный компонент, встроенный в пакет, похитил GitHub workflow‑токен, который использовался в CI/CD‑процессах компании.

После того как информация об атаке на TanStack стала публичной, Grafana начала процедуру массовой ротации учётных данных. Однако один токен случайно не был отозван — и оставался действительным.

Именно этот токен позволил злоумышленникам получить несанкционированный доступ к среде GitHub и репозиториям компании.

Что именно получили злоумышленники

Согласно заявлениям Grafana и внешним отчётам, атакующие смогли:

• получить доступ к GitHub‑инфраструктуре компании
• скачать основной репозиторий исходного кода Grafana
• загрузить внутренние репозитории, используемые для совместной работы и внутренней документации

По данным некоторых отчётов, среди скачанных данных могли быть:

• внутренние репозитории для совместной работы
• деловые контакты
• адреса электронной почты, хранившиеся в репозиториях

При этом компания заявила, что данные клиентов или персональная информация пользователей не были затронуты.

Попытка вымогательства

После скачивания репозиториев злоумышленники направили Grafana требование выкупа, угрожая опубликовать украденные данные.

Хронология событий выглядит примерно так:

• 11 мая 2026 года — обнаружена подозрительная активность и начато реагирование на инцидент
• 16 мая 2026 года — получено требование выкупа

Компания подтвердила получение требования, но отказалась платить. Одновременно были немедленно аннулированы скомпрометированные учётные данные и начато судебно‑техническое расследование.

Почему Grafana считает, что клиенты не пострадали

Grafana подчёркивает, что инцидент был ограничен только средой GitHub и не затронул производственную инфраструктуру.

По результатам расследования компании:

• производственные системы и платформа Grafana Cloud не были взломаны
• рабочие среды клиентов не пострадали
• доступ к пользовательским данным не получен

Фактически атака касалась репозиториев и внутренней документации, а не рабочих сервисов компании.

Почему код не был изменён

По данным Grafana, злоумышленники скачали репозитории, но не вносили изменений в исходный код.

Зафиксированная активность сводилась к несанкционированному доступу и эксфильтрации данных. Попыток вмешательства в релизы программного обеспечения или инфраструктуру производства обнаружено не было.

При этом внешние наблюдатели отмечают, что детальные результаты судебной экспертизы не публиковались полностью, поэтому вывод о неизменности кодовой базы основан на выводах внутреннего расследования компании.

Как инцидент связан с кампанией Mini Shai‑Hulud

Случай с Grafana — типичный пример того, как работают современные атаки на цепочку поставок программного обеспечения.

Кампания Mini Shai‑Hulud распространялась через заражённые пакеты в популярных репозиториях разработчиков, нацеливаясь на CI/CD‑системы и среды разработки.

Типичная цепочка атаки выглядела так:

1. В официальные репозитории публикуются вредоносные версии популярных пакетов.
2. Разработчики или CI‑системы автоматически устанавливают эти пакеты.
3. Вредоносный код собирает токены и учётные данные.
4. Похищенные токены используются для доступа к системам контроля версий (например, GitHub).
5. Репозитории скачиваются, после чего жертве предъявляется требование выкупа.

Grafana стала одним из наиболее заметных пострадавших downstream‑проектов: украденный CI‑токен и одна пропущенная ротация учётных данных дали злоумышленникам прямой доступ к её GitHub‑репозиториям.

Инцидент показывает растущую тенденцию: всё чаще атакующие нацеливаются не на производственные серверы, а на саму цепочку разработки, где автоматизация и токены CI могут открыть путь к исходному коду и внутренним системам компаний.