喜歡使用Chrome 瀏覽器擴展的需要當心了。據(jù)最新的報告，過去三年時間里，有 2.8 億人安裝了受惡意軟件感染的 Chrome 瀏覽器擴展。但根據(jù)谷歌方面的數(shù)據(jù)，只有不到1%的擴展中存在惡意軟件。

上周，谷歌表示，2024 年Chrome 瀏覽器網(wǎng)絡(luò)商店（目前包含 25 萬多個擴展程序）中只有不到 1%的安裝程序被發(fā)現(xiàn)包含惡意軟件。雖然這一數(shù)字已經(jīng)很小，但仍有一些不良的擴展程序會通過，這也是它為什么還要監(jiān)控已發(fā)布的擴展程序的原因。安全團隊指出，與任何軟件一樣，擴展程序也可能帶來風險。

但來自斯坦福大學和 CISPA 赫爾姆霍茲信息安全中心的研究人員 Sheryl Hsu、Manda Tran 和 Aurore Fass 對這些數(shù)字進行了精確計算。三人在研究論文中披露，他們研究了 Chrome 瀏覽器商店中的安全值得關(guān)注擴展（SNE）。SNE 被定義為包含惡意軟件、違反 Chrome 瀏覽器網(wǎng)絡(luò)商店政策或包含脆弱代碼的擴展。

調(diào)查發(fā)現(xiàn)，在 2020 年 7 月至 2023 年 2 月期間，有 3.46 億用戶安裝了 SNE。其中 6300 萬個違反了政策，300 萬個存在漏洞，2.8 億個 Chrome 瀏覽器擴展包含惡意軟件。

研究人員還發(fā)現(xiàn)，安全的 Chrome 瀏覽器擴展通常不會在商店中停留很長時間，一年后仍可使用的擴展僅占 51.8 - 62.9%。另一方面，SNE 在商店中的平均停留時間為 380 天（惡意軟件），如果包含易受攻擊的代碼，則為 1248 天。

存活時間最長的 SNE 名為 TeleApp，可用時間為 8.5 年，最后一次更新是在 2013 年 12 月 13 日，在 2022 年 6 月 14 日被發(fā)現(xiàn)包含惡意軟件后被刪除。通常用戶被建議查看用戶評分來判斷一個應(yīng)用程序或擴展是否是惡意的，但研究人員發(fā)現(xiàn)，這對 SNE 毫無幫助。

研究人員表示，總的來說用戶并沒有給 SNE 較低的評分，表明用戶可能沒有意識到這類擴展是危險的。此外，也有可能是機器人給這些擴展程序提供了虛假評論和高評分。不過，考慮到半數(shù) SNE 沒有評論，在這種情況下，使用虛假評論似乎并不普遍。

谷歌表示，一個專門的安全團隊會向用戶提供他們安裝的擴展的個性化摘要，在擴展發(fā)布到商店之前對其進行審查，并在發(fā)布之后對其進行持續(xù)監(jiān)控。研究人員建議谷歌也監(jiān)控擴展程序的代碼相似性。

報告指出：例如，大約有 1000 個擴展程序使用開源的 Extensionizr 項目，其中 65% 至 80% 仍在使用六年前該工具最初打包的默認和易受攻擊的庫版本。他們還指出，由于缺乏維護，在漏洞被披露后很長時間，擴展程序仍在商店中存在。

參考來源：https://www.techspot.com/news/103522-researchers-280-million-people-installed-malware-infected-chrome.html