禁止挖矿 谷歌杀了所有的Chrome扩展应用

关键时刻，第一时间送达！

继封锁加密货币的广告之后，谷歌又对恶意挖矿行为出手了！

加密货币的兴起，引发了诸多行业乱象。为了减少以浏览器为入口、未经用户许可而消耗设备资源的现象，Facebook、LinkedIn、Twitter、谷歌、Snapchat 和 MailChimp 等各大公司都先后禁止为 ICO（首次代币发行）或其他区块链产品做广告。

作为用户最为常用的浏览器之一，谷歌 Chrome封锁加密货币广告之后确实颇有成效，现在为了进一步整治恶意挖矿行为，保护用户的网络安全，还宣布将不再接受包含加密货币挖掘脚本的扩展程序，现有的也将在今年六月下旬前全部移除。

▌谷歌 Chrome 浏览器一直备受挖矿攻击者的青睐

在全球监管持续收紧的情况下，2018 年以来比特币一直处于下跌的低迷状态，近两日更是跌破 7000 美元。除此以外，以太坊和莱特币等加密货币也在同步下跌。

然而，尽管监管严格约束、市场低迷，挖矿者对于加密货币的挖掘仍追捧不已，并且随着时间的推移，这些交易开始变得更加复杂化，要求强大的硬件来提供支持。这也就导致了大量恶意攻击者将主意打到了 Chrome 扩展程序上。恶意用户更青睐与虚拟货币相关的扩展程序，因为只有那些虚拟货币持有者才会使用相关软件，使用那些应用的用户自然也就成为了盗窃目标：

去年，谷歌浏览器 Chrome 应用商店中的 Cryptsy Dogecoin（DOGE）Live Ticker（一种与狗币相关的扩展插件），插件在升级中受到感染，之后开始监控虚拟货币交易网站的访问和钱包地址。

今年年初，有研究人员在谷歌浏览器应用商店里发现某个下载量已经超过 10 万次的扩展程序暗藏挖矿代码。如果用户安装了该扩展程序则会在开启谷歌浏览器后开始挖矿，对普通用户来说很难发现自己已经变成矿工。

······

现在，针对日益猖獗的恶意挖矿现象，谷歌再次出手整治。

▌Chrome 的杀器：第三方扩展程序

Chrome 第三方扩展程序一直备受开发者和用户的欢迎。扩展程序之于浏览器，就相当于应用程序之于操作系统。通过在 Chrome 上安装各式各样的扩展程序，用户可以使用 Chrome 原本不具备的海量功能，这也是 Chrome足以和 IE、Firefox 两个怪兽争夺天下的一大杀器。

“（Chrome）扩展平台提供了强大的功能，对于我们开发人员来说能够构建充满活力的扩展目录，帮助用户充分利用 Chrome。”James Wagner，谷歌扩展平台产品经理在其博客中写到，“恶意扩展程序表面上似乎提供了很多有用的功能，但这些程序同时也在后台嵌入了未经用户同意的隐藏加密货币挖掘脚本，这些挖矿脚本会消耗大量的 CPU 资源，严重影响使用者的系统性能和功耗”，“（取缔挖矿功能）这一政策能够确保 Chrome 用户在享受扩展程序便利的同时，也不会面临隐含的风险。”

▌不会波及除挖矿之外的其他加密货币功能

到目前为止，谷歌仍允许开发人员向 Chrome 应用商店提交加密货币挖掘扩展程序，但对这些扩展程序有着严格的要求：仅可用于挖掘，并且功能明确，没有其他混淆行为。不过据谷歌称，绝大多数挖矿程序——大约占到 90％——都不符合其政策要求，要么被阻止上传，要么被忽略，随后需要谷歌将其删除。在这种策略下，不可避免会有一些挖矿扩展程序被大量，最终导致用户在不知情的情况下充当了免费矿工。

不过庆幸的是，禁止加密货币的挖掘功能并不会影响到其他与之相关的扩展程序，例如比特币价格检查器、加密货币钱包经理和区块链浏览器等等。像 MetaMask 这样的扩展程序仍然可以使用，它是一种在 Chrome 上使用的以太坊钱包，广受开发者的欢迎。

事实上，Chrome 并不是唯一一个被恶意程序盯上的目标：2017 年 11 月，Ars Technica 发现有不少热门的 Android 应用程序暗藏挖矿功能，甚至有 2 款应用程序已经被下载了 5 万次；去年 12 月，Sophos 发布了一份关于 Loapi 的报告，Loapi 是一种新型的加密货币挖掘恶意软件，在 Play 商店中伪装成色情内容和防病毒软件；今年 1 月份，加密货币挖矿服务 Coinhive 还曾绑架 YouTube 用户的电脑来挖掘门罗币（monero）......

所以，如果不想充当免费矿工，一些没有安全认证的第三方扩展程序就不要乱用了。