近日，一場代號為「Muck and Load」的大規模開源軟體供應鏈攻擊活動在 GitHub 上爆發，影響了超過 200 個倉庫。這場攻擊利用自動化腳本和巧妙的欺騙手段，將遠端控制木馬、惡意挖礦程式和敏感資訊竊取軟體植入到看似正常的開發工具中。開發者稍有不慎，就可能將這些惡意程式引入自己的開發環境，造成嚴重的資安威脅。
現象觀察：200 多個假 AI 套件暗藏木馬
根據網路安全研究機構 Socket 的報告，駭客利用「排版劫持（Typosquatting）」和「熱門偽裝」策略，將惡意程式植入到 GitHub 上的多個倉庫中。他們複製了許多知名開源專案（如 PyTorch、TensorFlow 的輔助庫）的代碼，稍作修改後上傳，並通過僱用水軍或利用僵屍網路刷高星標數量，使其在 GitHub 的搜索結果中名列前茅。
這種手法極其狡猾，因為開發者在搜索和下載這些套件時，很容易因打錯字或被高星標數量誤導而下载到惡意程式。一旦這些程式被安裝到本地開發環境中，就會在背景悄悄運行，對開發者的電腦和數據造成嚴重威脅。
原因剖析：駭客利用 GitHub 的開放性
首先，GitHub 作為全球最大的開源代碼託管平台，其開放性和易用性吸引了大量開發者。然而，這種開放性也成為了駭客利用的漏洞。駭客可以輕鬆創建和維護多個倉庫，並通過自動化工具快速部署惡意程式。
其次，GitHub 的搜索和排序算法基於用戶評分和星標數量，這使得駭客可以通過刷高星標數量來提高惡意倉庫的排名。這種做法不仅增加了惡意程式被下載的概率，還使得真正的開發者難以辨別真假。
再者，許多開發者在導入第三方開源代碼時，往往缺乏足夠的安全意識和校驗手段，這也給了駭客可乘之機。例如，一些開發者可能會直接從搜索引擎中找到所需的套件，而沒有進一步確認其真實性和安全性。
影響評估：開發者數據和計算資源遭受威脅
根據 Socket 安全專家的深入分析，這些受污染的倉庫中均被植入了一款名為「MuckLeech」的全新隱蔽型木馬。該木馬在軟體安裝階段（如執行 setup.py 時）會自動在背景啟動，繞過 Windows Defender 的啟發式檢測。一旦成功運行，它會立即掃描開發者電腦中的 .env 設定檔、雲端伺服器（AWS / Azure）的金鑰凭证、以及瀏覽器中儲存的加密貨幣錢包私鑰。
隨後，木馬會建立一個隱蔽的遠端控制管道，將這些機密數據加密後發送到駭客的控制伺服器，甚至會利用開發者的電腦算力在背景偷偷進行門羅幣挖礦。這不僅會導致開發者的數據泄露，還會大幅增加計算資源的負擔，影響正常工作。
趨勢預測：未來資安威脅將更加隱蔽
從產業面來看，隨著開源生態系統的不斷擴大，未來的資安威脅將變得更加隱蔽和複雜。駭客將利用更多的技術手段和社會工程學方法，來繞過現有的安全防護措施。因此，開發者和企業需要不斷提高自身的安全意識，並采取更嚴格的安全措施。
對於開發者來說，養成雙重校驗套件名稱與簽名的安全習慣至關重要。此外，定期更新防病毒軟體和操作系統的安全補丁，也是防止惡意程式入侵的有效手段。
GitHub 官方在收到 Socket 的報告後，已於第一時間封禁了相關帳號並下架了這批惡意倉庫。然而，這只是解決問題的第一步，未來仍需持續監控和改善平台的安全性，以確保開發者的利益不受侵害。
面對日益複雜的資安威脅，開發者和企業不能掉以輕心。除了提高自身的安全意識外，還需要定期進行資安培訓和模擬攻防演練，以增強整體的防禦能力。
本文改寫整理自公開新聞來源，原始報導由T客邦發布。
常見問題 FAQ
什麼是「Muck and Load」攻擊？
「Muck and Load」是一場在 GitHub 上爆發的大規模開源軟體供應鏈攻擊活動，涉及超過 200 個倉庫，這些倉庫中暗藏了遠端控制木馬、惡意挖礦程式和敏感資訊竊取軟體。
駭客是如何實施這場攻擊的？
駭客利用「排版劫持（Typosquatting）」和「熱門偽裝」策略，複製知名開源專案的代碼，稍作修改後上傳到 GitHub，並通過刷高星標數量提高其排名，誘使開發者下載惡意程式。
開發者如何防範這類攻擊？
開發者在導入第三方開源代碼時，應養成雙重校驗套件名稱與簽名的安全習慣，並定期更新防病毒軟體和操作系統的安全補丁，以防止惡意程式入侵。
※ 此篇文章由 AI 改寫或生成，內容僅供參考，可能存在錯誤或不準確之處。