ctrl/tinycolor and 40+ NPM Packages Compromised - StepSecurity

Executive SummaryThe NPM ecosystem is facing another critical supply chain attack. The popular @ctrl/tinycolor package, which receives over 2 million weekly downloads, has been compromised along with more than 40 other packages across multiple maintainers. This attack demonstrates a concerning evolution in supply chain threats - the malware includes a self-propagating mechanism that automatically

[gabill]

食品が腐るように、 packages.jsonも時間とともにどこからかバイキンが入り込んで腐敗するものとして考えた方がいいのかもしれない

[efcl]

Shai-Hulud サプライチェーン攻撃。 envやGithub tokenなどを集めて、Shai-Huludリポジトリとしてdata.jsonにbase64を2回かけた公開。 所有してるパッケージに対して自動的にマルウェアを入れて公開する

[abekoh]

“Shai-Hulud”

[Shisama]

weekly 200万ダウンロードされている[@]ctrl/tinycolorというnpmパッケージや40以上のnpmパッケージがサプライチェーン攻撃を受けた。対象となるパッケージ名とバージョンの一覧が記載されている。

[tohokuaiki]

定期的にaudit掛けてるけど、こういうのあったりメンテナンス放棄は掴めないからなぁ。あそして“alongside 40+ other NPM packages ”ってどれなんだって、それすらnpmからわかるわけでもなし。