作者zhtw (届かない恋...)
看板Browsers
标题[-GC-] Chrome User-Agent Switcher 疑似为木马!
时间Sat Sep 9 12:13:00 2017
原文於V2EX浏览器分区：
https://goo.gl/bTyBkx
---------------
chrome 商店搜寻User-Agent Switcher，
排第一的这个扩充功能(45 万使用者),是一个木马...
商店连结：
https://goo.gl/Dmf8Ui
https://imgur.com/919pVs5.png
为了绕过chrome 的审核策略,他把恶意程式码隐藏在了promo.jpg 里
background.js 的第80 行,从这个图片里解密出恶意程式码并执行
https://imgur.com/8aQi3XE.png
会把你开启的每个分页的url等资讯加密传送到
https://uaswitcher.org/logic/page/data
另外还会从
http://api.data-monitor.info/api/bhrule?sub=116
获取推广连结的规则,开启符合规则的网站时,会在页面插入广告甚至恶意程式码.
根据threatbook上的资讯
(
https://x.threatbook.cn/domain/api.data-monitor.info )
我估计下面的几个扩充功能都是这个作者的作品..
https://chrome.google.com/webstore/detail/nenhancer/ijanohecbcpdgnpiabdfehfjgcapepbm
https://chrome.google.com/webstore/detail/allow-copy/abidndjnodakeaicodfpgcnlkpppapah
https://goo.gl/zSP74x
https://chrome.google.com/webstore/detail/aliexpress-radar/pfjibkklgpfcfdlhijfglamdnkjnpdeg
这里也有人讨论这个问题
https://news.ycombinator.com/item?id=14889619
----------------------
建议这个作者的所有扩充功能都不要安装(包含火狐版)
有安装的人也请立即移除！
--
赠人玫瑰，手有余香。
--
※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 1.175.14.8
※ 文章网址: https://webptt.com/cn.aspx?n=bbs/Browsers/M.1504930393.A.71C.html
1F：推 t7yang: GC上架完全不会审核，所以要制造灾难是比较容易的。一个 09/09 12:40
2F：→ t7yang: 全球使用者一起测试的概念。相对FX有人工审核，相对安全 09/09 12:41
3F：→ t7yang: 一点 09/09 12:41
孤狗好像是用程式审核，所以只要复杂点就会被钻漏洞
4F：推 Kreen: 可以用 Google 提供的 User-Agent Switcher for Chrome替代 09/09 14:30
6F：推 Kenqr: ... 09/09 14:45
7F：推 Alica: 讲到User-Agent Switcher Fx的那个没坏所以很久没更新了 09/09 16:17
8F：→ Alica: 我都拿它来强制关闭e10s(XD) 但是再没多久就要全完蛋了 09/09 16:18
9F：→ ettoolong: FX版的是哪个? 好几个名字都好像. 09/09 17:13
10F：→ ettoolong: 图示一样的是那个超旧的套件. 09/09 17:14
我也不知道哪个，可能火狐版没更新了，官网的火狐版连结也只是导回首页而已..
11F：→ ettoolong: 我看你补的那篇英文的讨论, 原来一个多月前就被发现了. 09/09 18:14
12F：→ ettoolong: 只是好像没啥特别的报导出来. 09/09 18:14
对啊，好像也没多少人在意欸XDD
※ 编辑: zhtw (1.175.14.8), 09/09/2017 18:26:38
13F：→ ettoolong: 这个如果在 Firefox 上审核应该不会过. 09/09 18:35
14F：→ ettoolong: 因为他的 content_security_policy 出现 'unsafe-eval' 09/09 18:36
15F：→ ettoolong: 出现这个会直接被退件. 09/09 18:37
16F：→ ettoolong: 不过, 若是XUL版的套件, 就要看审的人有没有看仔细了. 09/09 18:38
17F：→ ettoolong: 因为XUL套件的权限控管没有像WebExtension的那麽好. 09/09 18:41
18F：→ ettoolong: 回去看那个商店的评论, 切到英文版评论, 有很多一颗星. 09/09 18:47
19F：→ ettoolong: 时间点差不多就是一个月前. 09/09 18:47
20F：推 abc0922001: 类似的我以前好像也看过欸，藏在图片 09/09 19:04