Tag: tanstack-npm-paket

Manipulierte TanStack-Pakete gelangten über einen missbrauchten OIDC-Token in die npm-Registry. Der eingebettete Schadcode sammelte beim Installieren Cloud-Zugänge, GitHub- und npm-Tokens sowie SSH-Schlüssel. Seit dem TanStack-Angriff hat die Mini-Shai-Hulud-Welle Microsoft, Red Hat und zahlreiche weitere Organisationen getroffen. Hier analysieren wir den technischen Ursprung dieser Angriffsserie.

Über ein manipuliertes TanStack-npm-Paket der Mini-Shai-Hulud-Kam­pa­gne gelangen Angreifer in die CI/CD-Pipeline von Grafana Labs und stehlen den kompletten Quellcode aus GitHub-Repositories. Das Unternehmen lehnt die Lösegeld­for­de­rung ab und informiert US-Bundesbehörden. Produktionssysteme und die Grafana-Cloud-Plattform bleiben nach Firmenangaben unberührt.