Checkmarx Zero 揭露 MALFEX npm 供應鏈攻擊，同一攻擊者發佈 8 個惡意套件，透過三條互不相依的路徑在 Windows 上植入 Overlord 遠端存取木馬與 movinlike 竊密程式，累計下載逾 4 萬次。截至 9 月底仍有 3 個惡意套件可從 npm 安裝，且公告涵蓋不完整。

Checkmarx Zero 揭露 npm 惡意套件 indexed-btree 攻擊活動：不使用安裝腳本，而是把惡意載入程式藏在套件主程式的 set 方法中，並以 Sepolia 智慧合約作為 C2。套件週下載量近 200 萬，另有 9 個相關套件遭下架，攻擊者據估已獲利 109 ETH。