GitHub 程式碼庫遭大規模污染，攻擊者利用後置安裝機制散布惡意程式

攻擊者透過污染 GitHub 上的公開程式碼庫，利用開發者常用的後置安裝（postinstall）機制，在開發者執行專案時自動下載並執行惡意程式。這種手法屬於軟體供應鏈攻擊，能繞過傳統防毒軟體，直接入侵開發者環境。開發者往往信任開源社群的程式碼，卻未檢查程式碼是否被篡改，導致系統被控制或資料被竊取。一般開發者容易在安裝第三方套件時，忽略檢查程式碼來源與修改記錄，直接執行安裝指令而中招。建議開發者定期更新套件、驗證程式碼簽章，並避免安裝來源不明的套件。