LayerX 揭露 40 多个恶意浏览器扩展

LayerX 已识别出超过 40 个恶意浏览器扩展，它们是三个不同网络钓鱼活动的一部分。

此次攻击活动的初步检测是由 域名工具智能（DTI） 团队，谁 确定了可疑域名列表 这些浏览器扩展程序会伪装成合法品牌进行通信。然而，尽管 DTI 的研究提供了 恶意域名列表，但并未识别出单个恶意扩展的完整列表。

在 DTI 初步研究的基础上，LayerX 调查了被标记的 URL，以挖掘出实际的 Chrome 扩展程序元数据。通过分析相关的扩展程序页面，LayerX 已经能够识别：

• 扩展 ID
• 扩展名
• 背后的出版商
• 扩展元数据，例如发布日期、上次软件更新等。

此次调查揭示 40多个恶意扩展，其中许多仍然在 Google Chrome 商店中上线。

扩展的完整列表在这篇文章的底部提供。

LayerX 分析的主要发现

通过仔细分析扩展页面和行为，LayerX 发现了几个重要的模式和见解：

1. AI生成的扩展页面

这些恶意扩展页面的结构、格式和语言高度相似，表明它们很可能是使用人工智能工具自动生成的。这种策略使威胁行为者能够以最少的人工干预，快速地将攻击活动扩展到数十个虚假工具上。

2. 模仿流行工具和品牌

这些扩展经过精心设计，模仿了知名平台，包括：

• Fortinet/FortiVPN
• DeepSeek AI
• Calendly
• YouTube 辅助工具
• DeBank 等加密实用程序

通过利用知名品牌的信任，这些恶意工具有效地绕过了用户的怀疑并逃避了安装过程中的审查。

3. 复杂的品牌伪装

他们不仅试图伪装成已知的合法扩展和/或品牌，还试图使自己看起来很相似：

• 注册看起来相似的域名（例如，calendlydaily[.]world 和 calendly-director[.com]，以冒充 Calendly）
• 对于此活动的所有扩展部分，发布者和电子邮件联系域不是私人 Gmail 帐户，而是一个独立域，以使其看起来更可信
• 联系电子邮件地址遵循“support@domain-name”的标准格式，这再次提高了可信度，并使其看起来好像背后有一个合法的出版商

这些扩展允许攻击者持续访问用户会话，从而进行数据窃取、冒充以及潜在进入公司环境。

组织如何应对

当前恶意扩展程序的浪潮凸显了许多组织安全态势中的一个关键盲点：浏览器本身。以下是组织可以采取主动措施来降低风险的方法：

1. 通过扩展程序 ID 阻止恶意扩展程序

企业可以通过 MDM 或浏览器策略强制执行来手动阻止恶意扩展程序。然而，这种方法通常需要大量人力，需要安全团队跟踪扩展程序 ID、监控新威胁并近乎实时地做出响应。

2. 加强扩展卫生

对浏览器扩展采取基本的卫生政策：

• 阻止来自未知或未经验证的发布者的扩展
• 限制年轻扩展的安装（最近发布）
• 标记审核数量较少或权限请求异常的扩展程序
• 避免使用与可疑或品牌欺骗域名相关的工具

3. 即使扩展程序已从 Chrome 商店下架，也要阻止它们

虽然一些受感染的扩展程序已从 Google Chrome 商店中移除，但从商店中移除并不会从用户的浏览器中删除已安装的扩展程序。因此，用户和组织必须手动登录并删除它们。

LayerX 如何提供帮助

LayerX 提供了一个专用的浏览器安全平台，可以持续实时监控和评估扩展程序。它提供所有扩展程序的全面发现、自动风险分类以及精细的强制选项，以阻止恶意扩展程序。

除其他功能外，它还可以：

• 自动阻止恶意或高风险扩展
• 检测执行可疑操作的扩展，例如窃取 cookie、注入脚本等。
• 允许管理员在整个组织范围内设置和执行扩展策略
• 通过遥测和威胁情报跟上快速发展的威胁

对于担心浏览器扩展程序威胁的企业，LayerX 提供免费的浏览器扩展程序审计服务。该审计功能包括发现您环境中安装的所有浏览器扩展程序，映射哪些用户安装了哪些扩展程序，并提供可行的建议以补救恶意扩展程序的威胁。

点击这里 报名参加补充延期审计。

恶意扩展ID列表：

• 分享：