IronWorm 惡意軟體襲擊 npm 供應鏈，感染 36 個套件

IronWorm 惡意軟體利用開發者對 npm 生態系的信任，將惡意程式碼隱藏在看似正常的開發套件中。一旦開發者下載並執行這些套件，惡意程式便會在背景竊取敏感資訊，如密碼、金鑰或專案代碼。這種攻擊手法隱蔽性極高，難以被傳統防毒軟體即時偵測。

一般開發者容易在追求快速開發或依賴開源專案時，忽略對套件來源的嚴格審查。許多開發者習慣直接安裝 npm 套件，卻未檢查其更新日誌或社群反饋，這給了攻擊者可乘之機。此外，供應鏈攻擊往往針對特定目標，使得受害者難以察覺異常。

為防範此類攻擊，開發者應定期更新套件並仔細審查更新日誌，避免安裝來源不明的套件。建議使用套件管理工具檢查套件簽章，並啟用多因素認證以保護開發環境。同時，建立內部審查機制，對第三方套件進行安全掃描，可有效降低被攻擊的風險。