80个Chrome扩充程式疑涉及大规模监控行动，扩充程式已成新的rootkit

安全厂商发现100多个浏览器扩充暗中搜集用户资讯，疑为大规模监控行动的一部分，并警告有将近80个已在Chrome Web Store软件市集上架，并有3300万次下载。

安全厂商 Awake Security 威胁研究小组侦测到的一宗大规模全球监控行动和一家网域注册和浏览器扩充有关。他们发现2.6万个网域是向以色列网域注册商GalComm有关，其中有近6成，超过1.5万网域是用来代管各种传统恶意程式或浏览器有关的监控工具。这些网域使用多种规避技俩，防止被安全产品标注为恶意网域来掩护监控行动

研究人员说，GalComm之流的网域注册商可能具备网络军火交易商的功能，提供犯罪组织或国家经营恶意网站、代管工具和扩充程式的平台，却能不受监控或撇清责任。不过GalComm否认并表示这些可疑网域中有1/4和该公司没有关联，有的也早就删除。

此外，研究人员还发现，过去三个月内就侦测到有111个恶意或假Chrome扩充程式连结Galcomm网域攻击者的C&C服务器或扩充程式的下载网页。这些扩充程式的监控行为包括撷取屏幕画面、读取剪贴簿、搜集储存在cookies或参数中的验证令符、窃取用户键击（如密码）等等。

这100多个可疑扩充程式中有近八成，共79个在Chrome Web Store上架。研究人员还发现，这些恶意程式的作者先以干净无害的扩充程式上传通过检验，之后再以有恶意程式码的版本更新。而由于Chrome（及Microsoft Edge）的用户众多，截至5月为止这些扩充程式的下载量高达3300万次，其中几个的下载次数甚至超过千万。

虽然接获Awake Security通知后，Google已将这些问题扩充程式下架，但研究人员说，浏览器已经取代Windows、MacOS成为新的操作系统，而恶意浏览器扩充程式来监控Microsoft 365、Google、Salesforce、Facebook、LinkedIn或Zoom等成为新的rootkit。这也让骇客使用不引人耳目的手法、技术和策略，成功躲过传统安全防护产品如信誉评等引擎、沙箱、端点侦测与回应产品的侦测。

研究人员分析，这个大规模监控行动背后的组织，已经潜入将近100多家企业网络中，产业别扩及金融、石油和天然气、媒体与娱乐、健康照护与制药、零售、高科技、高等教育和-部门，其中不乏部署最严密安全解决方案的组织。

安全公司建议企业应仔细盘查公司电脑上的流氓浏览器扩充程式，而这只是骇客躲避传统安全产品、网域信誉评等、Web proxies和云端沙箱等安全防护机制手法之一。IT部门应提高警觉日新月异的攻击策略、手法和程序，来补强这些方案的不足。