慢雾：Grafana最近疑似遭遇攻击

4月27日，慢雾科技首席信息安全官23pds在X平台发布消息称，开源数据可视化工具Grafana疑似遭受攻击。攻击者利用Gato-X窃密签名，通过app令牌对多个代码库发起攻击，可能获取了相关应用程序私钥。

攻击者通过精心设计的分支名称注入JavaScript代码，窃取机密信息。其主要目的可能包括：

• 利用tibdex/github-app-token生成高权限GitHub Token；
• 操控grafana/grafana仓库的代码、分支或发布流程；
• 在未来植入隐蔽后门或篡改版本包。