NPMサプライチェーンへの攻撃が再発、@ctrl/tinycolorが悪意のあるバージョンを公開

ChainCatcherの報道によると、Scam Snifferは再びNPMサプライチェーンを標的とした攻撃事件を検知しました。@ctrl/tinycolor（週あたりのダウンロード数は220万回）が悪意のあるバージョンをリリースし、このバージョンはnpmのpostinstall（インストール後）スクリプト実行時に情報窃取プログラムを起動し、機密データをスキャンして盗み取ります。

この悪意のあるペイロードは、正規の機密情報スキャンツールであるTruffleHogを悪用しています。影響を受けるバージョンをダウンロードしていないか確認し、インストールやアップデートの操作を一時停止し、バージョンを既知の安全なものに固定してください。