ZONE.CI 全球网

朝鲜黑客组织ContagiousInterview通过开发者工具（VSCode、GitHub）发起供应链攻击，利用钓鱼邮件诱导开发者克隆恶意仓库，触发自动执行的恶意脚本窃取加密货币凭证。攻击涉及多阶段载荷、恶意VSCode扩展和npm包，针对近百家全球机构。建议加强代码审查、验证第三方依赖、监控异常IDE行为。

2026年6月，荷兰、加拿大、美国、德国执法机构在欧洲刑警组织协调下开展`终局行动`，成功打击Socgholish恶意程序分发网络，关停106台服务器与恶意域名，并修复14971个遭入侵的WordPress站点。该恶意软件由TA569团伙运营，通过攻陷正规网站植入仿冒浏览器更新弹窗，最终可投放LockBit等勒索软件。行动方建议WordPress管理员启用多因素认证、限制后台访问、更新程序并重置泄露凭证。

Proofpoint发现朝鲜黑客组织unk\\_deaddrop在2026年4-5月针对开发者发起大规模攻击，通过虚假工作邀请和代码审查请求诱导访问GitHub克隆仓库，利用tasks.json配置文件滥用编辑器自动执行任务功能，在Cursor编辑器中静默部署恶意VSCode扩展，窃取加密货币钱包、密码和API令牌，并最终删除载荷以掩盖痕迹。

本文质疑Proofpoint对UNK\\_MassTraction攻击事件的归因分析，指出其将技术特征模糊的攻击关联到中国背景的证据链存在明显缺口。文章详细描述了攻击链利用Roundcube漏洞的过程，但认为共享基础设施、工具复用、中文制品及目标院校等四项证据均缺乏排他性，无法确证攻击者国籍。作者批评媒体将疑似渲染为确证，呼吁回归证据本身，聚焦防御而非仓促归因。

本文分析HVV2026期间利用ZimbraCollaborationSuite漏洞CVE-2025-66376的ZimReaper攻击。攻击者通过存储型XSS在用户已登录并完成2FA的webmail中执行恶意脚本，无需点击链接或附件，仅预览邮件即可触发。脚本窃取CSRFtoken、自动填充密码、创建应用专用密码、枚举通讯录并导出近90天邮件。攻击链利用邮件渲染器语义差绕过清洗，将合法功能重新编排为窃密流水线。安全建议包括升级补丁、审计应用密码创建和DNS外传日志。文章强调安全边界需重新定义，不能仅依赖用户

本周全球网安领域两线并进：产业侧Proofpoint以63亿美元收购Varonis成年度最大并购案之一，HarmonicSecurity完成5000万美元B轮融资，Q3全球网安投资达68亿美元；漏洞侧CISAKEV单周新增9个在野利用漏洞，覆盖Cisco、PaloAlto、BeyondTrust等厂商；事件侧巴西爱因斯坦医院等多家医疗机构遭攻击，FBI预警Kali365钓鱼平台窃取OAuth令牌绕过多因素认证。建议企业优先修复在野漏洞、审计远程会话记录并审查OAuth应用授权。

朝鲜黑客组织ContagiousInterview通过开发者工具（VSCode、GitHub）发起供应链攻击，利用钓鱼邮件诱导开发者克隆恶意仓库，触发自动执行的恶意脚本窃取加密货币凭证。攻击涉及多阶段载荷、恶意VSCode扩展和npm包，针对近百家全球机构。建议加强代码审查、验证第三方依赖、监控异常IDE行为。

Proofpoint发现朝鲜黑客组织unk\\_deaddrop在2026年4-5月针对开发者发起大规模攻击，通过虚假工作邀请和代码审查请求诱导访问GitHub克隆仓库，利用tasks.json配置文件滥用编辑器自动执行任务功能，在Cursor编辑器中静默部署恶意VSCode扩展，窃取加密货币钱包、密码和API令牌，并最终删除载荷以掩盖痕迹。

本文质疑Proofpoint对UNK\\_MassTraction攻击事件的归因分析，指出其将技术特征模糊的攻击关联到中国背景的证据链存在明显缺口。文章详细描述了攻击链利用Roundcube漏洞的过程，但认为共享基础设施、工具复用、中文制品及目标院校等四项证据均缺乏排他性，无法确证攻击者国籍。作者批评媒体将疑似渲染为确证，呼吁回归证据本身，聚焦防御而非仓促归因。

本文分析HVV2026期间利用ZimbraCollaborationSuite漏洞CVE-2025-66376的ZimReaper攻击。攻击者通过存储型XSS在用户已登录并完成2FA的webmail中执行恶意脚本，无需点击链接或附件，仅预览邮件即可触发。脚本窃取CSRFtoken、自动填充密码、创建应用专用密码、枚举通讯录并导出近90天邮件。攻击链利用邮件渲染器语义差绕过清洗，将合法功能重新编排为窃密流水线。安全建议包括升级补丁、审计应用密码创建和DNS外传日志。文章强调安全边界需重新定义，不能仅依赖用户

本周全球网安领域两线并进：产业侧Proofpoint以63亿美元收购Varonis成年度最大并购案之一，HarmonicSecurity完成5000万美元B轮融资，Q3全球网安投资达68亿美元；漏洞侧CISAKEV单周新增9个在野利用漏洞，覆盖Cisco、PaloAlto、BeyondTrust等厂商；事件侧巴西爱因斯坦医院等多家医疗机构遭攻击，FBI预警Kali365钓鱼平台窃取OAuth令牌绕过多因素认证。建议企业优先修复在野漏洞、审计远程会话记录并审查OAuth应用授权。

朝鲜黑客组织ContagiousInterview通过开发者工具（VSCode、GitHub）发起供应链攻击，利用钓鱼邮件诱导开发者克隆恶意仓库，触发自动执行的恶意脚本窃取加密货币凭证。攻击涉及多阶段载荷、恶意VSCode扩展和npm包，针对近百家全球机构。建议加强代码审查、验证第三方依赖、监控异常IDE行为。

Proofpoint发现朝鲜黑客组织unk\\_deaddrop在2026年4-5月针对开发者发起大规模攻击，通过虚假工作邀请和代码审查请求诱导访问GitHub克隆仓库，利用tasks.json配置文件滥用编辑器自动执行任务功能，在Cursor编辑器中静默部署恶意VSCode扩展，窃取加密货币钱包、密码和API令牌，并最终删除载荷以掩盖痕迹。

本文质疑Proofpoint对UNK\\_MassTraction攻击事件的归因分析，指出其将技术特征模糊的攻击关联到中国背景的证据链存在明显缺口。文章详细描述了攻击链利用Roundcube漏洞的过程，但认为共享基础设施、工具复用、中文制品及目标院校等四项证据均缺乏排他性，无法确证攻击者国籍。作者批评媒体将疑似渲染为确证，呼吁回归证据本身，聚焦防御而非仓促归因。

本文分析HVV2026期间利用ZimbraCollaborationSuite漏洞CVE-2025-66376的ZimReaper攻击。攻击者通过存储型XSS在用户已登录并完成2FA的webmail中执行恶意脚本，无需点击链接或附件，仅预览邮件即可触发。脚本窃取CSRFtoken、自动填充密码、创建应用专用密码、枚举通讯录并导出近90天邮件。攻击链利用邮件渲染器语义差绕过清洗，将合法功能重新编排为窃密流水线。安全建议包括升级补丁、审计应用密码创建和DNS外传日志。文章强调安全边界需重新定义，不能仅依赖用户

朝鲜黑客组织ContagiousInterview通过开发者工具（VSCode、GitHub）发起供应链攻击，利用钓鱼邮件诱导开发者克隆恶意仓库，触发自动执行的恶意脚本窃取加密货币凭证。攻击涉及多阶段载荷、恶意VSCode扩展和npm包，针对近百家全球机构。建议加强代码审查、验证第三方依赖、监控异常IDE行为。

2026年6月，荷兰、加拿大、美国、德国执法机构在欧洲刑警组织协调下开展`终局行动`，成功打击Socgholish恶意程序分发网络，关停106台服务器与恶意域名，并修复14971个遭入侵的WordPress站点。该恶意软件由TA569团伙运营，通过攻陷正规网站植入仿冒浏览器更新弹窗，最终可投放LockBit等勒索软件。行动方建议WordPress管理员启用多因素认证、限制后台访问、更新程序并重置泄露凭证。

Proofpoint发现朝鲜黑客组织unk\\_deaddrop在2026年4-5月针对开发者发起大规模攻击，通过虚假工作邀请和代码审查请求诱导访问GitHub克隆仓库，利用tasks.json配置文件滥用编辑器自动执行任务功能，在Cursor编辑器中静默部署恶意VSCode扩展，窃取加密货币钱包、密码和API令牌，并最终删除载荷以掩盖痕迹。

本文质疑Proofpoint对UNK\\_MassTraction攻击事件的归因分析，指出其将技术特征模糊的攻击关联到中国背景的证据链存在明显缺口。文章详细描述了攻击链利用Roundcube漏洞的过程，但认为共享基础设施、工具复用、中文制品及目标院校等四项证据均缺乏排他性，无法确证攻击者国籍。作者批评媒体将疑似渲染为确证，呼吁回归证据本身，聚焦防御而非仓促归因。

本文分析HVV2026期间利用ZimbraCollaborationSuite漏洞CVE-2025-66376的ZimReaper攻击。攻击者通过存储型XSS在用户已登录并完成2FA的webmail中执行恶意脚本，无需点击链接或附件，仅预览邮件即可触发。脚本窃取CSRFtoken、自动填充密码、创建应用专用密码、枚举通讯录并导出近90天邮件。攻击链利用邮件渲染器语义差绕过清洗，将合法功能重新编排为窃密流水线。安全建议包括升级补丁、审计应用密码创建和DNS外传日志。文章强调安全边界需重新定义，不能仅依赖用户

本文质疑Proofpoint对UNK\\_MassTraction攻击事件的归因分析，指出其将技术特征模糊的攻击关联到中国背景的证据链存在明显缺口。文章详细描述了攻击链利用Roundcube漏洞的过程，但认为共享基础设施、工具复用、中文制品及目标院校等四项证据均缺乏排他性，无法确证攻击者国籍。作者批评媒体将疑似渲染为确证，呼吁回归证据本身，聚焦防御而非仓促归因。

本文分析HVV2026期间利用ZimbraCollaborationSuite漏洞CVE-2025-66376的ZimReaper攻击。攻击者通过存储型XSS在用户已登录并完成2FA的webmail中执行恶意脚本，无需点击链接或附件，仅预览邮件即可触发。脚本窃取CSRFtoken、自动填充密码、创建应用专用密码、枚举通讯录并导出近90天邮件。攻击链利用邮件渲染器语义差绕过清洗，将合法功能重新编排为窃密流水线。安全建议包括升级补丁、审计应用密码创建和DNS外传日志。文章强调安全边界需重新定义，不能仅依赖用户

本文分析HVV2026期间利用ZimbraCollaborationSuite漏洞CVE-2025-66376的ZimReaper攻击。攻击者通过存储型XSS在用户已登录并完成2FA的webmail中执行恶意脚本，无需点击链接或附件，仅预览邮件即可触发。脚本窃取CSRFtoken、自动填充密码、创建应用专用密码、枚举通讯录并导出近90天邮件。攻击链利用邮件渲染器语义差绕过清洗，将合法功能重新编排为窃密流水线。安全建议包括升级补丁、审计应用密码创建和DNS外传日志。文章强调安全边界需重新定义，不能仅依赖用户

文章总结： ZimReaper利用ZimbraClassicUI存储型XSS漏洞CVE-2025-66376，通过邮件渲染而非点击链接即可窃取数据。攻击在2FA

文章总结： ZimReaper利用ZimbraClassicUI存储型XSS漏洞CVE-2025-66376，通过邮件渲染而非点击链接即可窃取数据。攻击在2FA