当心!恶意Chrome、Firefox扩充程式强迫安装，而且狡猾地不给用户移除

浏览器扩充程式已然成为新的安全问题。安全公司Malwarebytes分别发现Chrome与Firefox有恶意扩充程式安装后竟会使用诡计不让用户移除。
 
在Chrome上的恶意扩充程式称为Tiempo en Colombia en vivo。它是该公司2016年发现强迫安装Chrome扩充程式的一种手法而流传。在这种手法下，网站被植入一种恶意JavaScript程式，会在用户不小心造访网站时跳出对话框，要求使用者如果要离开网站就必须安装扩充程式。一般人会按“取消”，这时它会再显示“避免本页再产生其他对话框”的对话框。通常使用者会按下“OK”。不过这会让用户被导向全屏幕模式，并看见自己正要安装的扩充程式。
 
Tiempo en Colombia en vivo一旦被安装到电脑上，它会使Chrome出现异常行为。例如研究人员Pieter Arntz在测试机器上发现它会自动点击十多部YouTube影片，似乎要冲刺点阅率。
 
但当用户想要移除它时会发现难上加难。首先，它不让用户连结chrome://extensions/，即可一览Chrome扩充程式并移除的页面，而是导向chrome://apps/?r=extensions。在这个页面上自然找不到这个恶意扩充程式。封锁Chrome中的JavaScript也没有用，因此这个方法只适用于外部网页，对本机上的网页无效。而在Chrome下执行“–disable-extensions”指令也没用，因为Chrome会显示它没有扩充程式。
 
唯一方法是修改扩充程式资料匣中的1499654451774.js档名。此后重新启动Chrome即会在chrome://extensions/显示所有扩充程式，包括Tiempo en Colombia en vivo，但因为其JavaScript被重新命名，因此会显示该档案已损毁。但这时即可将之删除。（来源：Malwarebytes）

 
Malwarebytes研究人员也在Firefox发现有类似手法的扩充程式，名为PUP.Optional.FFHelperProtection。但它是以网站上的广告轮播程式推送出Firefox手动更新的诈骗广告，诱骗使用者下载。安装后它会在用户搜寻扩充程式页时，以background.js寻找URL的字串，然后将之关闭，让使用者想移除也找不到。
 
不过这个扩充程式比较容易对付。只要在启动Firefox时按著Shift键，按下“以安全模式启动”的选项。在安全模式的Firefox下，所有扩充程式都会现形，让使用者得以手动移除。而且如果Firefox因为JavaScript，对话框一再跳出而动弹不得的话，只要利用“工作管理员”即可关闭Firefox。
 
Tiempo en Colombia en vivo在上周四都可在Chrome Web Store上下载。Malwarebytes公布并由Ars Technica报导后，Google已经将之移除。PUP.Optional.FFHelperProtection则并未在Firefox 扩充程式商店中发现。
 
由于这两款恶意扩充程式可能是利用强迫安装法安装到用户端，有可能被趁虚而入。因此安全公司建议不要下载来路不明的扩充程式，并使用广告封锁工具。最好方法是详细阅读任何扩充程式的使用条款。
 
这是最新发现的恶意Chrome扩充程式。近年来Chrome扩充程式常被骇客用来散布恶意广告程式。本月又有资安业者分别发现Chrome Web Store上有Chrome扩充程式被植入采矿程式或点击诈骗程式，消息曝光后Google才将之移除。