Grafana: Hacker kapern GitHub-Umgebung – Quellcode erbeutet

Grafana Labs hat bestätigt, dass ein unbefugter Akteur einen Zugangstoken zur GitHub-Umgebung des Unternehmens erlangt und damit Zugriff auf interne Quellcode-Repositories erhalten hat. Der Vorfall wurde am Wochenende publik. Der Angreifer hat anschließend Lösegeld gefordert, um den Quellcode nicht zu veröffentlichen – Grafana lehnte ab und ging in dieselbe Stunde mit der Information an die Öffentlichkeit.

Nach aktuellem Stand sind weder Kundendaten noch personenbezogene Informationen betroffen. Grafana Cloud, Loki, Tempo und Mimir laufen im Normalbetrieb. Der eigentliche Schaden ist jedoch erheblich: Mit dem Quellcode in fremden Händen können Angreifer gezielt nach Logikschwachstellen, hartcodierten Secrets, internen API-Endpunkten und Build-Geheimnissen suchen.

Der Angriff verlief auffallend elegant – und zeigt, wie verwundbar selbst sicherheitsbewusste Open-Source-Organisationen über ihre eigenen CI/CD-Pipelines sind. Sieben Schritte vom harmlosen Pull-Request bis zum vollständigen Codebase-Download:

1. 1

   Fork eines öffentlichen Grafana-Repos

   Der Angreifer erstellt einen ganz normalen Fork eines public Repos – unauffällig, keine Berechtigungen nötig.

2. 2

   Schadbefehl in einen `pull_request_target`-Workflow injiziert

   In der geforkten Version wird ein Workflow so manipuliert, dass beim Triggern ein Befehl im Kontext des Original-Repos läuft.

3. 3

   Pull Request gestellt

   Sobald der PR im Grafana-Repo eintrifft, startet GitHub Actions den verwundbaren Workflow automatisch.

4. 4

   CI-Lauf mit Grafana-Secrets

   `pull_request_target` läuft im Kontext des Zielrepositories – mit vollem Zugriff auf Secrets und Tokens.

5. 5

   Umgebungsvariablen abgegriffen

   Der eingeschleuste Befehl dumpt die Env-Variablen – und damit einen privilegierten GitHub-Token.

6. 6

   Codebase + 4 weitere Repos exfiltriert

   Mit dem gestohlenen Token zieht der Angreifer das komplette private Hauptrepo sowie vier weitere private Repos.

7. 7

   Bösartiger Fork gelöscht

   Nach der Exfiltration verschwindet der Fork – ein Großteil der sichtbaren forensischen Spuren ist weg.

Der Schlüsselmoment ist Schritt 4: Wer einen pull_request_target-Workflow auf nicht-vertrauenswürdigen Code aus einem Fork loslässt, schenkt jedem PR-Autor effektiv die eigenen CI-Secrets.

Wer Zugriff auf den Quellcode einer Observability-Plattform wie Grafana hat, sieht weit mehr als nur „den Code". Entwickler-Repos enthalten regelmäßig:

Genau deshalb hat Grafana parallel zur Disclosure begonnen, sämtliche potenziell exponierten Credentials systematisch zu rotieren.

Grafana selbst hat den Angriff bisher nicht offiziell zugeordnet. Threat-Intelligence-Berichte verweisen jedoch auf eine reine Data-Extortion-Crew namens CoinbaseCartel, die sich gegenüber Forschern zur Tat bekannt hat. Die Gruppe taucht seit September 2025 auf und gilt als Ableger der Szene rund um ShinyHunters, Scattered Spider und LAPSUS$.

Im Gegensatz zu klassischen Ransomware-Banden verschlüsselt CoinbaseCartel keine Systeme. Das Geschäftsmodell ist reine Erpressung über Datendiebstahl: Stehlen, drohen, veröffentlichen – Schlagzeile inklusive. Branchen-Beobachter sprechen von bereits über 170 Opfern.

• ↳Fokus: GitHub-Tokens, CI/CD-Secrets, Cloud-Credentials
• ↳Typische Initial-Access-Vektoren: Phishing, Infostealer, kompromittierte SaaS-Sessions
• ↳Tatsächliche Veröffentlichung von Daten als Druckmittel, nicht nur Drohung
• ↳Hohes Tempo: zwischen Disclosure und Leak oft nur wenige Tage

GitHub Actions gelten mittlerweile als eines der attraktivsten Ziele für Supply-Chain-Angriffe. Der Grund ist simpel: Wer Zugriff auf eine Build-Pipeline erhält, kann manipulierte Releases direkt über legitime Softwarekanäle verteilen. Zunehmend beobachten Forscher „Pwn Request"-Angriffe, Workflow-Injection und Cache-Poisoning.

Selbst vertrauenswürdige Open-Source-Projekte können durch kompromittierte Maintainer-Accounts oder Build-Systeme plötzlich zur Malware-Verteilung missbraucht werden.

Nach der Exfiltration kontaktierte der Angreifer Grafana Labs und forderte Lösegeld, um den Quellcode nicht zu veröffentlichen. Grafana lehnte ab – mit ausdrücklichem Verweis auf die langjährige FBI-Position, dass Zahlungen weder Datenrückgabe garantieren noch das Geschäftsmodell der Täter austrocknen.

Bemerkenswert ist das Timing: Grafana hat den Vorfall am selben Tag öffentlich gemacht, an dem die Lösegeldforderung einging. Eine bewusste Transparenz-Entscheidung, die jedem Verhandlungsversuch sofort den Boden entzieht und gleichzeitig Kunden, Partner und die Open-Source-Community informiert.

Parallel hat Grafana die kompromittierten Credentials invalidiert, den verwundbaren Workflow entfernt, sämtliche Workflows in öffentlichen Repos vorübergehend deaktiviert und eine forensische Untersuchung gestartet. Kunden von Grafana Cloud, Loki, Tempo und Mimir können laut Hersteller normal weiterarbeiten – auffällige Integrationen oder unerwartete Abhängigkeits-Updates sollten Security-Teams trotzdem im Auge behalten.

Cyberkriminelle greifen immer seltener direkt Unternehmen an. Stattdessen kompromittieren sie Entwicklerwerkzeuge, Paketquellen und Build-Prozesse. Eine einzige kompromittierte Bibliothek kann tausende Unternehmen gleichzeitig treffen.

• ↳Schadcode wird über legitime Updates verteilt
• ↳Viele Sicherheitslösungen vertrauen signierten Builds automatisch
• ↳Entwickler installieren Updates oft ohne tiefe Prüfung
• ↳DevOps- und Cloud-Umgebungen werden zur Hochrisiko-Zone

Sicherheitsforscher empfehlen, die Software-Lieferkette inzwischen genauso kritisch zu behandeln wie klassische Perimeter-Sicherheit. Konkrete Sofortmaßnahmen:

• GitHub-Tokens sofort rotieren (PAT, App, OAuth)
• CI/CD-Secrets in allen Pipelines erneuern
• Workflow-Permissions auf `contents: read` minimieren
• Drittanbieter-Actions auditieren und auf SHA pinnen
• Paketabhängigkeiten kontinuierlich monitoren (SBOM)
• Build-Umgebungen isolieren (ephemere Runner)
• Signierte Releases zusätzlich validieren (Sigstore, SLSA)
• Secrets-Scanning im Repo und in der Pipeline aktivieren
• Entwicklergeräte über EDR/XDR aktiv überwachen
• Maintainer-Accounts mit Hardware-MFA absichern

Der Grafana-Vorfall zeigt exemplarisch, wie gefährlich kompromittierte Entwickler-Infrastrukturen geworden sind. Supply-Chain-Angriffe entwickeln sich zu einer der größten Bedrohungen für Unternehmen weltweit – besonders kritisch, dass Angreifer zunehmend vertrauenswürdige Open-Source-Ökosysteme missbrauchen, um Malware, Credential-Stealer und Backdoors großflächig zu verteilen.

Die eigentliche Herausforderung liegt nicht mehr nur im Schutz einzelner Systeme – sondern im Schutz der gesamten Software-Lieferkette. Die aktuellen Kampagnen sind vermutlich erst der Anfang einer deutlich aggressiveren Welle von CI/CD- und GitHub-basierten Angriffen.