OpenVSX插件GlassWorm潜伏，窃取敏感数据的隐蔽威胁
10月25日，安全研究机构Koi+Security披露了一个关键发现：OpenVSX平台上已有部分VS+Code扩展插件遭受GlassWorm蠕虫脚本植入。这些恶意插件凭借其高度隐蔽性构成了扩散链条，累计下载量已达约35800次。
研究人员首先从一款名为CodeJoy的插件中察觉到异常网络活动，其实际行为与官方声明的功能描述存在显著差异。在深入解析源代码时，他们注意到第2至第7行之间看似空白区域，实则嵌入了大量不可见的Unicode特殊字符。这类字符在常规审查中极易被忽略，无论是人工检查还是静态扫描工具都难以识别，但JavaScript引擎却会正常解析并执行它们，从而激活隐藏的恶意代码逻辑。
一旦触发，该脚本会主动连接攻击者控制的C2服务器并下载后续载荷，进而窃取设备中的NPM、GitHub及Git等关键身份凭证。取得控制权限后，攻击者便可擅自修改或发布受害者的软件包，实现对开发环境的深度渗透。更严峻的是，受感染的设备还可能被配置为代理节点，参与更大规模的供应链攻击，成为攻击网络中的关键环节。
安全团队特别强调，随着开发生态系统的持续扩张，插件市场已成为网络攻击的重点目标。此类利用不可见字符隐藏恶意代码的手法，反映出攻击手段正日趋复杂化。开发者和平台运营方亟需加强对异常代码的检测能力，同时提升对隐蔽性威胁的防范意识。
热门专题
热门推荐
今年三月，谷歌DeepMind高级科学家Alexander Lerchner发表了一篇重磅论文，其核心结论清晰而深刻：基于算法的符号操作在结构上注定无法产生真正的意识——无论未来模型规模如何庞大、架构如何精巧，甚至是否为其配备仿生身体，这一根本性限制或许都无法被跨越。 仔细审视这一论断，它并非一个关
研究针对AI助手难以执行复杂屏幕操作的问题，构建了CUActSpot评测基准，通过代码渲染自动生成含精确坐标的多样化训练数据，并训练了一个40亿参数模型。实验表明，提升训练数据多样性比单纯扩大数据规模更能有效增强模型通用操作能力，并展现出跨任务泛化潜力。
《迷你世界》于2026年5月15日发布全新激活码，玩家可凭兑换码领取酷炫角色装扮、迷你币及稀有道具，请及时复制有效激活码前往游戏内使用。
《我的世界》于2026年5月17日发布免费兑换码EMMMyxhjVHMApsb2，可兑换游戏道具与装饰。兑换码常有时间或次数限制，请尽快使用。更多兑换码可查看官方汇总页面。