近日，安全公司Malwarebytes的研究人員對(duì)一款惡意Chrome擴(kuò)展程序進(jìn)行了深入調(diào)查。

惡意軟件感染用戶過(guò)程

該款款惡意Chrome擴(kuò)展程序可以監(jiān)控用戶的上網(wǎng)行為習(xí)慣，并自動(dòng)出現(xiàn)彈窗，并干擾用戶正常上網(wǎng)。同時(shí)安全公司Malwarebytes的研究人員發(fā)現(xiàn)該惡意程序活動(dòng)將會(huì)強(qiáng)迫用戶安裝包含有惡意程序的Chrome擴(kuò)展。首先惡意攻擊者會(huì)先創(chuàng)建一個(gè)網(wǎng)站，不幸訪問(wèn)該網(wǎng)站的用戶會(huì)收到持續(xù)不斷的彈窗來(lái)推薦用戶安裝惡意擴(kuò)展程序。如果用戶選擇關(guān)閉，則會(huì)繼續(xù)跳出另外一個(gè)。總之就是會(huì)接二連三的出現(xiàn)彈窗，如果當(dāng)用戶將鼠標(biāo)移動(dòng)虛晃至瀏覽器或點(diǎn)擊關(guān)閉按鈕的時(shí)候就會(huì)出現(xiàn)更大的對(duì)話框，并會(huì)出現(xiàn)在頂部，而網(wǎng)站的后臺(tái)也會(huì)播放很嘈雜的聲音。

早前曾出現(xiàn)一款名為 eFast Browser的惡意程序，該惡意程序一反傳統(tǒng)偽裝成瀏覽器延伸套件植入的方式，直接化身為瀏覽器劫持系統(tǒng)檔案關(guān)聯(lián)，讓使用者在不知不覺(jué)中落入它的圈套。

Malwarebytes 的報(bào)告曾指出，該惡意程序一旦成功安裝，eFast Browser 會(huì)嘗試刪除 Chrome 并取而代之，并劫持相關(guān)的系統(tǒng)檔案關(guān)聯(lián)如 htm/html、pdf、jpg、webp、xht 等，以及網(wǎng)絡(luò)傳輸協(xié)定如 ftp、http/https、nntp、sms、webcal 等。另外值得注意的是 eFast Browser 的開(kāi)發(fā)是建基于 Chromium 開(kāi)源計(jì)劃，因此無(wú)論是瀏覽器圖示、界面以及功能都與 Chrome 非常相似，看起來(lái)就像其他由 Chromium 開(kāi)源計(jì)劃下開(kāi)發(fā)出來(lái)的正規(guī)瀏覽器，容易迷惑對(duì)此不熟悉的用戶，讓用戶無(wú)法察覺(jué) Chrome 瀏覽器已被取代。

目前影響范圍較小

Malwarebytes的安全團(tuán)隊(duì)分享了該惡意擴(kuò)展的演示(見(jiàn)下文)，Chrome 瀏覽器將會(huì)在使用者瀏覽會(huì)建議安裝任何惡意軟件的網(wǎng)站前，出現(xiàn)如跳轉(zhuǎn)后的紅色警示。而用戶在訪問(wèn)其網(wǎng)站之后會(huì)被強(qiáng)制要求安裝一款名為“iClac”擴(kuò)展程序，之前該擴(kuò)展程序已經(jīng)在Google Web Store上線。一旦安裝了該擴(kuò)展，并沒(méi)有如名稱一樣具備計(jì)算器功能，但是研究人員發(fā)現(xiàn)iCalc會(huì)秘密的設(shè)置一個(gè)代理，從通過(guò)一個(gè)遠(yuǎn)程服務(wù)器來(lái)重定向所有的瀏覽器流量。

Malwarebytes已經(jīng)向谷歌報(bào)告了該擴(kuò)展程序，目前安裝量沒(méi)有超過(guò)1000個(gè)，那些不知道通過(guò)任務(wù)管理器來(lái)關(guān)閉Chrome進(jìn)程的用戶可能會(huì)繞進(jìn)攻擊者設(shè)計(jì)的陷阱中。目前谷歌已經(jīng)移除了該應(yīng)用程序，而該惡意程序活動(dòng)的作者已經(jīng)開(kāi)始推送另外的惡意擴(kuò)展程序，但這一次，受影響區(qū)域僅限于俄羅斯用戶。