惡意Go模組偽裝成開發工具，GitHub 上逾 700 個版本含惡意程式碼

攻擊者利用開發者對開源專案的信任，將惡意程式碼隱藏在看似正常的 Go 模組中，並透過大量版本更新掩蓋痕跡。開發者若未仔細核對程式碼來源與簽章，容易在無意間將惡意程式引入專案。此手法針對軟體供應鏈，可能導致後端系統被滲透或資料被竊取。

一般人或開發者容易在追求效率時，直接信任 GitHub 上高下載量的專案，而忽略檢查程式碼內容與作者身分。攻擊者利用「偽裝」與「大量更新」的策略，降低受害者的戒心，使惡意程式得以長期存在。

建議開發者在引入第三方套件前，務必核對專案來源、檢查程式碼簽章，並使用安全掃描工具檢測潛在風險。同時，應定期更新開發環境，並對不明來源的程式碼保持高度警惕，避免直接執行未經驗證的程式碼。