ZONE.CI 全球网

VSCode存在严重漏洞，攻击者利用恶意项目中的可点击链接绕过工作区信任机制，通过命令链接安装恶意扩展，获得对开发者工作站的持久访问权限。恶意扩展可窃取源码、凭证等敏感信息。建议关闭editor.links设置、限制扩展安装并警惕未知代码库中的链接。

本文深入剖析Electron桌面应用框架的安全攻击面，通过VSCode、Discord、MicrosoftTeams等真实案例，系统展示了不同webPreferences配置组合（NodeIntegration、ContextIsolation、Sandbox）下的漏洞利用链，涵盖原型污染、IPC泄露、渲染器RCE等关键技术，并给出缓解措施与补丁建议，对Electron应用安全评估具有重要参考价值。

四国联合预警揭露朝鲜背景威胁组织WaterPlum（ContagiousInterview）伪装招聘方攻击开发者，全球100多国至少3万台设备被感染，7000多个加密货币钱包被洗劫，约17亿日元加密资产流入朝鲜。攻击利用求职者运行代码的自然动作，通过面试流程投递恶意软件。建议核验应聘者身份、隔离环境运行代码、检查VSCode项目配置，将面试环节不碰生产环境设为制度。

本期安全风险汇总披露六个在野利用的高危漏洞与安全事件：CiscoISE认证绕过漏洞已入KEV需应急处置，OrkesConductor、IssabelPBX及REDCap均存在未认证RCE漏洞；朝鲜WaterPlum假招聘窃密行动感染3万台设备并窃取加密资产，勒索团伙N0n上架体育电商Fanatics。建议优先升级补丁、收敛未认证入口、隔离不可信代码并落实数据不可变备份与最小授权。

朝鲜黑客组织WaterPlum在8个月内感染100多国3万台设备，转移约1071万美元加密资产。攻击利用假招聘面试和笔记本农场两条管道，通过开发者工具链投毒窃取凭证。建议隔离评测环境、审查简历、监控恶意家族，将远程代码执行视为高危事件。

朝鲜WaterPlum组织利用虚假招聘面试发动ContagiousInterview攻击，8个月攻陷全球3万台设备，盗取超1070万美元加密货币。攻击通过AI换脸、恶意npm包和VSCode工程投毒，窃取个人凭证并横向渗透企业内网。文章给出开发者虚拟机隔离测试、企业加强身份核验和终端监控等防御建议。

该文档披露朝鲜APT组织WaterPlum发起的传染性面试攻击，通过伪装招聘方在面试中投递恶意代码入侵开发者电脑，进而渗透企业内网窃取数据。文章详述攻击链路、恶意软件家族及笔记本农场运作模式，并提供开发者与企业防护建议，强调招聘流程已成新安全风险面。

AI正深刻改变网络安全行业，漏洞挖掘与渗透测试受AI冲击，但行业也迎来机遇。作者指出AI使漏洞挖掘效率提升，但基础模型缺乏网络安全垂直语料，差异化数据与知识库成为关键。建议从业者利用自身数据优势，发展垂直领域AI模型、卖数据或构建AI安全平台，以在技术竞争中存活。

文档披露代号传染性面试的APT间谍活动，黑客伪造企业招聘与猎头账号，向求职者发送带恶意代码仓库的笔试题，利用VSCodetasks.json的runon:folderopen特性在打开项目时自动执行恶意载荷，窃取密钥、钱包等敏感信息，且受害者会在不知情下二次传播恶意仓库。文章给出个人防护与企业检测建议，强调隔离环境、关闭自动任务、检查仓库配置等实操措施。

文章总结： 文档披露代号传染性面试的APT间谍活动，黑客伪造企业招聘与猎头账号，向求职者发送带恶意代码仓库的笔试题，利用VSCodetasks.json的run

文章总结： 本文预警朝鲜WaterPlum组织发起的传染性面试APT攻击，该团伙伪装HR在招聘平台诱骗开发者运行恶意代码，攻陷个人电脑后借远程通道渗透企业内网窃

文章总结： 该文档披露朝鲜APT组织WaterPlum发起的传染性面试攻击，通过伪装招聘方在面试中投递恶意代码入侵开发者电脑，进而渗透企业内网窃取数据。文章详述

文章总结： 朝鲜WaterPlum组织利用虚假招聘面试发动ContagiousInterview攻击，8个月攻陷全球3万台设备，盗取超1070万美元加密货币。攻

文章总结： AIOSandbox是一个开源的一体化智能体沙箱环境，在单个Docker容器中整合浏览器、Shell、文件操作、MCP及VSCodeServer，解

文章总结： 本期安全风险汇总披露六个在野利用的高危漏洞与安全事件：CiscoISE认证绕过漏洞已入KEV需应急处置，OrkesConductor、Issabel

文章总结： 多国机构联合报告披露朝鲜黑客组织WaterPlum通过求职钓鱼攻击全球IT人员，感染超3万台终端，窃取7000多个加密钱包，转移约17亿日元资产。报

文章总结： 该报告披露朝鲜背景黑客组织WaterPlum通过伪装招聘方进行求职钓鱼攻击，已感染全球100多国超3万台终端，窃取超7000个加密钱包及约17亿日元

文章总结： 朝鲜黑客组织WaterPlum在8个月内感染100多国3万台设备，转移约1071万美元加密资产。攻击利用假招聘面试和笔记本农场两条管道，通过开发者工

文章总结： WaterPlum黑客组织通过伪造招聘流程实施大规模社会工程攻击，2025年12月至2026年7月间感染全球超100个国家至少3万台计算机，从700

文章总结： 四国机构联合预警揭露朝鲜背景威胁组织WaterPlum伪装招聘方攻击开发者，全球超3万台设备被感染，7000余个加密货币钱包遭洗劫。攻击利用求职者信

文章总结： 四国联合预警揭露朝鲜背景威胁组织WaterPlum（ContagiousInterview）伪装招聘方攻击开发者，全球100多国至少3万台设备被感染

文章总结： 本文介绍VSCode中SeedanceMCP插件的安装配置与使用流程，通过APIKey连接AceDataCloud平台，可将静态图片或文字描述生成动

文章总结： 安全研究人员披露了VSCode零日漏洞利用代码，攻击者可通过恶意扩展程序利用Webview消息传递系统窃取GitHubOAuth令牌，从而访问用户所

文章总结： LazarusGroup利用Git预提交钩子隐藏恶意软件，通过伪造的编码评估代码库针对开发者进行社会工程攻击。恶意脚本根据操作系统下载对应载荷，使用

文章总结： 文档分析VeranaBlockchain代码仓库遭供应链投毒事件，攻击者通过劫持GitHubActions标签和部署VSCode自动任务钩子，在开发