AdGuard警告Chrome Web Store劣质程式泛滥，Chrome扩充还是从可靠开发者网站下载为佳

专门开发广告封锁及隐私保护程式的AdGuard在本周踢爆，专门提供Chrome扩充程式的Chrome Web Store（CWS）充斥着广告诈骗程式，而且就算使用者检举了这些程式，它们依旧完好的存在于CWS上，根据AdGuard的统计，至少有296个扩充程式会擅自在Google及Bing的搜寻结果中嵌入广告，台面上的用户数总计超过8,000万。

AdGuard将这些广告诈骗程式分为3类，一就是会在Google及Bing的搜寻结果中嵌入广告，涉及295款扩充程式，二则是采用cookie填充技术，嵌入广告联盟cookie以向广告主诈骗的6款扩充程式，第三则是可疑的垃圾扩充程式，能够随时自远端更新程式功能，而且不计其数。

AdGuard共同创办人暨技术长Andrey Meshkov指出，其实他们在发现这些非法或危险的扩充程式之后，都会透过CWS的滥用回报机制向Google检举，但却没有看到Google的任何回应，也许当他们把问题公诸于世之后，Google便会采取行动。

在第一类的广告诈骗程式中，最多的是桌布扩充程式，也有不少程式假冒为广告封锁程式，这些程式会追踪浏览器的cookie，而且植入脚本程式来检查使用者所处网页，假设使用者正位于Google或Bing的搜寻结果页面，该程式就会在这些页面上载入广告。

第二类的广告诈骗程式则是利用cookie填充技俩，以诈骗广告主的佣金。例如当使用者造访Booking.com时，相关程式就会悄悄地设置广告联盟cookie，一旦使用者于Booking.com消费，扩充程式的开发者就能取得来自广告主的佣金。AdGuard发现了6款相关程式，总用户数超过150万。

第三类则被AdGuard归类为危险的垃圾程式，这些扩充程式尚未表现出任何的恶意或诈骗行为，但它们的名称经常仿冒热门程式，用户数可能灌水，最重要是，这类的程式全数载入了Google Tag Manager。

Google Tag Manager是Google替网站或行动程式所设计的标签管理系统，方便开发者更新用来分析与测量的“标签”程式码及配置，该功能也意味着开发者任何时候都可以上传新的程式码到该扩充程式，而不必透过CWS的程式更新机制。

Meshkov说，有不计其数的Chrome扩充程式载入了Google Tag Manager，其中有些程式的下载数量超过100万，甚至是500万，但评价却不到100个。Meshkov认为，不管是广告诈骗程式或是可疑的程式，其下载数量很有可能是透过机器人灌水的，目的在于吸引其他真正的使用者下载。

由于AdGuard陆续检举了不同的扩充程式，但CWS却无所作为，而让使用者持续存取及下载这些恶意的程式，才使得AdGuard决定公开研究内容。在AdGuard的分析在媒体上曝光之后，Google已经采取行动扫荡AdGuard所列出的名单。

Meshkov建议CWS短期内，可设置一个真正有效力的恶意扩充程式检举机制，来改善不良扩充程式充斥的现状，长期或者可以把扩充程式审核机制变更为开发者审核机制，以剔除素行不良的开发者。另也建议Chrome用户只安装必要的扩充程式、选择可靠的扩充程式开发者、不要相信扩充程式的所有描述、阅读其他使用者的评论，而且最好不要信任CWS的内部搜寻机制，而是自可靠的开发者网站直接下载扩充程式。