你下載的瀏覽器擴充功能安全嗎?

Google 和 Mozilla 出手整治惡意擴充功能和附加元件

因為惡意活動的出現，Google和Mozilla封鎖了大量的瀏覽器擴充功能和附加元件，大大地加強了瀏覽器的安全性。

Google暫停Chrome擴充功能

Google安全小組暫時地禁止使用Chrome Web Store付款的付費擴充功能發布或更新。因為有大量經由這些擴充功能執行的欺詐性交易出現。

這項作法會影響需要在安裝前付費，按月付費或經由應用程式內購買來使用特定功能的擴充套件。當嘗試發布或更新擴充功能時，開發者會收到「Spam and Placement in the Store」的訊息，表示該請求已被拒絕。

現有的付費擴充功能仍可從官方 Chrome Web Store取得，但開發者無法進行更新。在Google找到長期解決方案來抵禦相關威脅前，此禁令會無限期地執行下去。

Mozilla封鎖近200個附加元件

Mozilla封鎖了197個可疑Firefox附加元件，這些附加元件會執行惡意程式碼、執行遠端伺服器上的程式碼、竊取使用者資料、收集使用者搜尋關鍵字以及混淆原始碼，這些行為都違反了Mozilla的規定。

這些附加元件已經從官方Mozilla附加元件站（AMO）移除，而已經被安裝的則會在使用者瀏覽器內被停用。

被禁止的產品裡有129個來自一家B2B軟體廠商所提供的附加元件。數個線上教學及假加值服務的附加元件，以及文件轉PDF的轉換器和假視訊下載器等附加元件都被封鎖。

附加元件開發者只要清除了惡意行為就可以對該禁令提出上訴。其中一個附加元件的開發者成功地提出上訴，因為他們澄清了會從社群網站收集使用者帳密並交給另一網站的誤會。

網路犯罪分子將惡意軟體藏在擴充功能裡

惡意軟體可能會躲在瀏覽器擴充功能而不會被發現，因為有許多方式可以加以隱藏。最常見的一種是混淆技術，或刻意用難以理解的方式撰寫程式碼。儘管有些混淆技術是用來保護智慧財產權並防止破解，但許多網路犯罪份子也會用相同的方法來將惡意軟體埋進瀏覽器擴充功能的程式碼。

同時，有些網路犯罪分子會借用信譽良好擴充功能的名字來偽裝自己惡意的擴充功能。有些山寨版甚至會模仿原本擴充功能的行為（至少在最初的幾天內）。因為這些擴充功能與正版間有相似之處，所以會讓不知情的使用者安裝到惡意擴充功能，並且可能會需要一些時間才會發現錯誤。

惡意擴充功能通常在表面上具備有用的功能，但骨子裡卻隱藏了惡意軟體。但有些甚至會完全不加掩飾而只有惡意功能。例如，趨勢科技網路安全解決方案團隊發現了一個名為FacexWorm的惡意擴充功能，此惡意擴充功能以虛擬貨幣交易網站為目標，並利用社交工程（social engineering ）來透過聊天應用程式散播。

加強瀏覽器的安全性

大量的瀏覽器擴充功能和附加元件帶來了許多好處，讓使用者的日常生活更輕鬆，企業運作也更加順暢。但它們也可能成為惡意威脅的入口，因為它們可能會被用來竊取個人資訊或注入惡意軟體。

即便是最小心的使用者，在安裝瀏覽器擴充功能時也可能會放鬆警覺，因為這些擴充功能來自官方的瀏覽器商店，並被認為是安全的。Google和Mozilla最近的禁令突顯了對強大瀏覽器安全性的需求。這兩家瀏覽器加在一起佔據了桌面瀏覽器市場的 78%，這代表了如果惡意軟體透過這些瀏覽器散播，將可能會感染許多人。兩家公司的作法都是為了保護其瀏覽器的使用者，同時也因為它們必須遵守如歐盟一般資料保護規則 General Data Protection Regulation (GDPR) 這樣的資料隱私法規。

使用者自己也必須要努力保護系統安全。在安裝擴充功能或附加元件時要格外小心，並且要定期檢查可能是惡意的附加元件。

為了取得更強的安全防護，使用者可以加上多一層的保護，例如可以免費取得的趨勢科技Browser Guard。趨勢科技Browser Guard可以抵禦惡意擴充功能所可能帶來的零時差漏洞攻擊和惡意腳本。還可以跟 Smart Protection Network™基礎設施連線和整合。

@原文出處：Google, Mozilla Crack Down on Malicious Extensions and Add-ons