PANews는 4월 27일 SlowMist Technology의 최고정보보안책임자인 23pds가 오픈소스 데이터 시각화 도구인 Grafana가 최근 공격을 받은 것으로 의심된다고 X 플랫폼에 게시했다고 보도했습니다. 공격자는 Gato-X를 사용하여 기밀 서명을 훔치고 앱 토큰으로 여러 코드 베이스를 공격했습니다. 이 워크플로에는 잠재적으로 관련성이 있는 애플리케이션 개인 키가 있으며, 공격자는 조작된 브랜치 이름을 사용하여 JavaScript 코드를 삽입하고 기밀 정보를 훔친 것으로 의심됩니다. 공격자가 이러한 코드를 제출하는 실제 목적은 다음과 같을 수 있습니다. 1. tibdex/github-app-token을 통해 권한이 높은 GitHub 토큰을 생성합니다. 2. 이 토큰을 사용하여 grafana/grafana 저장소의 코드, 브랜치, 심지어 릴리스 프로세스까지 제어할 수 있습니다. 3. 나중에 숨겨진 백도어 코드를 밀어 넣거나 특정 버전 패키지를 변조합니다.