作者zhtw (届かない恋...)
看板Browsers
標題[-GC-] Chrome User-Agent Switcher 疑似為木馬!
時間Sat Sep 9 12:13:00 2017
原文於V2EX瀏覽器分區：
https://goo.gl/bTyBkx
---------------
chrome 商店搜尋User-Agent Switcher，
排第一的這個擴充功能(45 萬使用者),是一個木馬...
商店連結：
https://goo.gl/Dmf8Ui
https://imgur.com/919pVs5.png
為了繞過chrome 的審核策略,他把惡意程式碼隱藏在了promo.jpg 裡
background.js 的第80 行,從這個圖片裡解密出惡意程式碼並執行
https://imgur.com/8aQi3XE.png
會把你開啟的每個分頁的url等資訊加密傳送到
https://uaswitcher.org/logic/page/data
另外還會從
http://api.data-monitor.info/api/bhrule?sub=116
獲取推廣連結的規則,開啟符合規則的網站時,會在頁面插入廣告甚至惡意程式碼.
根據threatbook上的資訊
(
https://x.threatbook.cn/domain/api.data-monitor.info )
我估計下面的幾個擴充功能都是這個作者的作品..
https://chrome.google.com/webstore/detail/nenhancer/ijanohecbcpdgnpiabdfehfjgcapepbm
https://chrome.google.com/webstore/detail/allow-copy/abidndjnodakeaicodfpgcnlkpppapah
https://goo.gl/zSP74x
https://chrome.google.com/webstore/detail/aliexpress-radar/pfjibkklgpfcfdlhijfglamdnkjnpdeg
這裡也有人討論這個問題
https://news.ycombinator.com/item?id=14889619
----------------------
建議這個作者的所有擴充功能都不要安裝(包含火狐版)
有安裝的人也請立即移除！
--
贈人玫瑰，手有餘香。
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 1.175.14.8
※ 文章網址: https://webptt.com/m.aspx?n=bbs/Browsers/M.1504930393.A.71C.html
1F：推 t7yang: GC上架完全不會審核，所以要製造災難是比較容易的。一個 09/09 12:40
2F：→ t7yang: 全球使用者一起測試的概念。相對FX有人工審核，相對安全 09/09 12:41
3F：→ t7yang: 一點 09/09 12:41
孤狗好像是用程式審核，所以只要複雜點就會被鑽漏洞
4F：推 Kreen: 可以用 Google 提供的 User-Agent Switcher for Chrome替代 09/09 14:30
6F：推 Kenqr: ... 09/09 14:45
7F：推 Alica: 講到User-Agent Switcher Fx的那個沒壞所以很久沒更新了 09/09 16:17
8F：→ Alica: 我都拿它來強制關閉e10s(XD) 但是再沒多久就要全完蛋了 09/09 16:18
9F：→ ettoolong: FX版的是哪個? 好幾個名字都好像. 09/09 17:13
10F：→ ettoolong: 圖示一樣的是那個超舊的套件. 09/09 17:14
我也不知道哪個，可能火狐版沒更新了，官網的火狐版連結也只是導回首頁而已..
11F：→ ettoolong: 我看你補的那篇英文的討論, 原來一個多月前就被發現了. 09/09 18:14
12F：→ ettoolong: 只是好像沒啥特別的報導出來. 09/09 18:14
對啊，好像也沒多少人在意欸XDD
※ 編輯: zhtw (1.175.14.8), 09/09/2017 18:26:38
13F：→ ettoolong: 這個如果在 Firefox 上審核應該不會過. 09/09 18:35
14F：→ ettoolong: 因為他的 content_security_policy 出現 'unsafe-eval' 09/09 18:36
15F：→ ettoolong: 出現這個會直接被退件. 09/09 18:37
16F：→ ettoolong: 不過, 若是XUL版的套件, 就要看審的人有沒有看仔細了. 09/09 18:38
17F：→ ettoolong: 因為XUL套件的權限控管沒有像WebExtension的那麼好. 09/09 18:41
18F：→ ettoolong: 回去看那個商店的評論, 切到英文版評論, 有很多一顆星. 09/09 18:47
19F：→ ettoolong: 時間點差不多就是一個月前. 09/09 18:47
20F：推 abc0922001: 類似的我以前好像也看過欸，藏在圖片 09/09 19:04