两款热门AI编程扩展被曝窃取源码,下载量超百万威胁开发者供应链安全

网络安全研究人员近期发现，在微软官方Visual Studio Code应用商店上架的两款AI编程辅助扩展实为恶意软件，累计下载量已超过150万次。这两款扩展表面上提供代码建议功能，暗地里却在用户打开或编辑文件时，将其全部内容编码后外泄至指定服务器。更危险的是，攻击者可远程触发指令，导致受害者一次性泄露多达50个工作区文件。

与此同时，软件供应链安全也拉响警报。安全研究者在npm、pnpm等多个主流JavaScript包管理器中发现了统称为“PackageGate”的零日漏洞，攻击者可利用其绕过脚本执行限制和锁文件检查，在安装阶段植入恶意代码。尽管部分管理器已发布修复，但npm官方暂未计划修复，凸显了开发工具链自身存在的重大安全风险。这两起事件共同表明，开发者高效工具链正成为攻击者高价值目标。

俄罗斯知名安防系统提供商Delta公司近期遭遇大规模网络攻击，导致其面向家庭、企业和车辆的安全报警服务出现广泛中断。尽管Delta表示没有客户个人数据泄露证据，但攻击致使公司网站和电话线路离线，只能通过社交媒体与客户沟通，恢复备份工作因持续威胁而进展缓慢。

此次攻击造成了切实的安全风险与混乱。用户报告汽车报警系统无法关闭、车辆无法解锁，甚至出现行驶中发动机熄火等严重故障。住宅和商业建筑的报警系统也被触发进入无法关闭的紧急模式。同日，俄罗斯航空业使用的预订值机系统也发生大规模IT故障，虽官方归因于内部技术问题，但叠加Delta事件，凸显了关键基础设施在数字化后面临的严峻网络安全挑战，可能引发公众对各类联网安全设备可靠性的深度担忧。

一款名为ClearFake的恶意软件正通过伪造人机验证挑战，诱导用户亲手入侵自己的设备。当用户访问被入侵的网站时，会弹出要求完成验证的弹窗，但指示步骤却是按下Win+R打开“运行”对话框，然后按下Ctrl+V粘贴恶意命令并执行。这是一种典型的“ClickFix”社会工程学诱骗手段。

该恶意软件的规避性极强。最新版本利用Windows系统目录下的合法文件SyncAppvPublishingServer.vbs，通过其命令注入漏洞以“代理执行”方式隐秘运行PowerShell，从而绕过安全检测。其恶意载荷托管于币安智能链的智能合约中，利用区块链的不可篡改性提供难以被下架的托管渠道，同时还使用了jsDelivr等主流CDN服务分发代码，进一步增加了防御难度。据估算，自2025年8月以来已有近15万台设备遭感染。

慧与公司近日发布安全警报，其旗舰企业级存储产品HPE Alletra和Nimble Storage阵列中存在一个高危漏洞（CVE-2026-23594，CVSS评分8.8）。该漏洞源于存储操作系统在处理权限时的缺陷，可能导致远程权限提升。这意味着攻击者无需物理接触设备，即可通过网络利用该漏洞，最终可能获得存储阵列的完全管理员控制权。

该漏洞影响Alletra 6000/5000以及Nimble Storage混合与全闪存阵列等多个产品线，波及6.1.2.800之前及6.1.3.300之前的所有版本。在企业环境中，存储阵列管理员权限的失陷可能引发灾难性后果，攻击者可借此窃取核心业务数据、中断关键运营或直接部署勒索软件。HPE已发布修复版本，敦促相关管理员立即将阵列操作系统升级至6.1.2.800或6.1.3.300以消除风险。

安全研究人员发现，一个名为ansi-universal-ui的NPM包实为复杂的多阶段信息窃取恶意软件，代号“G_Wagon”。该包伪装成普通的UI组件库，一旦被安装，便会执行高度混淆的载荷，并下载专属的Python运行环境以绕过限制。其窃取目标明确且广泛，包括浏览器凭据、加密货币钱包、AWS/Azure/GCP等云服务密钥以及Discord令牌。

攻击者在短短两天内发布了10个版本，快速迭代并完善了恶意功能。其技术复杂度很高，最终载荷是一个经过加密的Windows DLL文件，并利用高级原生API将其注入浏览器进程。该恶意软件还具备处理大文件能力，会将窃取的数据分割上传。这显示出攻击者以拥有大量敏感数据的开发者或企业为高价值目标。研究人员建议已安装该包的开发者立即删除、检查感染迹象并轮换所有相关凭证。

商业信息平台Crunchbase确认发生数据泄露事件。此前，臭名昭著的网络犯罪组织ShinyHunters声称从其系统中窃取了超过200万条个人记录，并泄露了402MB的压缩数据档案作为未遂勒索的证明。Crunchbase表示，事件已被控制，未影响业务运营，公司已聘请网络安全专家协助调查，并通知了联邦执法部门。

ShinyHunters是一个自2020年以来活跃的金融犯罪组织，以窃取大型公司数据并索要赎金闻名，曾涉足多起大规模数据泄露事件。此次Crunchbase泄露的数据可能包含其数据库中丰富的企业和个人信息，这些信息对于市场营销、销售乃至社会工程学攻击具有潜在价值。尽管公司表示正在审查数据以确定是否需要依法通知，但事件已再次引发对企业，尤其是那些积累了大量商业情报数据的平台，所面临的数据安全与勒索风险的关注。