惡意Go模組偽裝掃描工具 散布挖礦與竊資軟體

開發者信任開源生態系的漏洞，正成為駭客新型態的攻擊管道。安全業者 Socket 揭露一起鎖定軟體工程師的惡意軟體散布行動，攻擊者藉由偽裝的 Go 程式庫，誘騙開發者下載。此事件重要性在於，一旦開發者的開發環境遭入侵，將引發連帶的供應鏈安全危機，使企業的機密原始碼與用戶資料面臨極大的外洩風險。

安全業者 Socket 於 2026 年 7 月揭露代號 Muck and Load 的攻擊。駭客利用包含 222 個惡意儲存庫的 GitHub 誘餌網路，誘騙開發者執行 Go 模組並植入 Monero 挖礦程式與竊資軟體。目前 Go 安全團隊已封鎖該模組，相關惡意基礎設施也已通報 GitHub 處理。