冒充 Zoom 的 VS Code 扩展瞄准 Google Chrome Cookie

2026 年 9 月 23 日，一名威胁行为者发布了新型供应链蠕虫，涉及以下软件包：

Hunt.io 从运营者自己暴露的目录解析 Redis 挖矿僵尸网络日志：两轮共攻陷 3,562 台服务器，仅 rogue replication 可规模化，无认证目标成功率 72.6%。

ClickFix 大规模劫持 Facebook 会话：以“免费认证徽章”为饵，诱导创作者提交 c_user 与 xs 会话令牌；链路含 115 个页面与 8 个无服务器收集端点，标题 pivot 另发现 103 个相关主机名，失败时回退窃取备用码与密码。

Hunt.io 借助 SSL 历史记录，用一张 TLS 证书将 Cyberhaven 扩展入侵事件的 C2 服务器与更广泛的脸书广告账号攻击活动关联起来，并揭示攻击者快速轮换的 Let's Encrypt 证书模式。

Hunt.io 曝光一起多层次攻击：开放目录中的可执行文件经计划任务运行 PowerShell，'Dark Mode' Chrome 扩展由开源间谍代码改造（可键盘记录、截屏），另有冒充 Cobalt Strike 文档的诱饵投递副本。

Trail of Bits 披露加密货币盗窃团伙 ELUSIVE COMET 借“Bloomberg 采访”邀约诱使目标加入 Zoom 会议并交出远程控制权限，文中补充新 IoC，并给出 PPPC 配置、TCC 数据库监控等分层防护方案。