| npm | React Native | GlueStack | RAT木馬程式
駭客盜用React Native、GlueStack維護團隊帳號，上架惡意NPM套件散布木馬
資安業者Aikido Security揭露專門針對React Native Aria生態系統的供應鏈攻擊事故，駭客在6月6日藉由外流的維護人員帳號，上架16個惡意套件，目的是散布RAT木馬程式
2025-06-10
| Google Calendar | npm | Unicode PUA
惡意NPM套件濫用Unicode字元、Google行事曆，隱匿攻擊意圖
可疑的NPM套件os-info-checker-es6被資安業者盯上、調查，結果發現，駭客經過一個多月的布局終於顯露意圖：他們濫用Google Calendar活動（Event），埋藏惡意程式的有效酬載
2025-05-19
| npm | 套件 | 供應鏈攻擊 | rand-user-agent | 遠端木馬
NPM套件rand-user-agent遭供應鏈攻擊，植入遠端木馬監控用戶系統
資安研究人員揭露，NPM套件rand-user-agent遭盜用發布權限上架惡意版本，植入遠端木馬，具備上傳檔案與執行系統指令的能力
2025-05-12
| npm | Telegram | SSH後門 | 供應鏈攻擊
惡意NPM套件偽裝Telegram函式庫，植入SSH後門攻擊Linux開發者
惡意NPM套件偽裝Telegram機器人開發函式庫，會在Linux開發環境植入持久性SSH後門，開發者單純移除套件無法清除被植入的SSH金鑰，系統仍存在風險
2025-04-23
多個長年未更新的NPM加密貨幣套件被竄改植入惡意腳本，安裝即竊取環境變數，突顯舊有開源專案未妥善維護，成供應鏈攻擊目標
2025-04-02
| npm | ethers-provider2 | ethers-providerz | Reverse Shell
資安業者ReversingLab揭露新一波惡意NPM套件攻擊，駭客上架名為ethers-provider2、ethers-providerz的套件，一旦開發人員安裝，電腦的合法套件ethers就可能遭到竄改，被植入後門
2025-03-28
| Lazarus | npm | 供應鏈攻擊 | 惡意套件 | Typosquatting
北韓駭客組織Lazarus仿冒6個知名NPM套件，發動軟體供應鏈攻擊
北韓駭客組織Lazarus假冒NPM套件滲透軟體供應鏈，植入惡意程式竊取瀏覽器帳密與加密貨幣錢包私鑰，並安裝後門持續滲透，資安專家呼籲加強第三方套件稽核，避免供應鏈攻擊擴大
2025-03-12
| npm | PyPI | RubyGems | OAST
新興應用程式安全測試OAST機制遭濫用，駭客藉此散布惡意NPM、PyPI、RubyGems套件
惡意套件攻擊出現新手法！資安業者Socket揭露一種濫用新興網頁應用程式資安檢測機制「界外應用程式安全測試（Out-of-Band Application Security Testing，OAST）」的攻擊手法，並指出攻擊者藉此能隱密地從事攻擊行動而難以察覺
2025-01-08
| 供應鏈攻擊 | Rspack | XMRig | npm
Rspack旗下NPM套件遭到供應鏈攻擊，開發人員電腦恐被植入挖礦軟體
前端軟體封裝套件Rspack開發團隊證實遭遇攻擊，並指出旗下兩個NPM套件被攻擊者植入有問題的1.1.7版，呼籲開發人員改用1.1.6或1.1.8版因應。有研究人員指出，這起事故專門針對特定國家的Linux開發環境而來
2024-12-25
