喜歡使用Chrome 瀏覽器擴展的需要當心了。據最新的報告，過去三年時間里，有 2.8 億人安裝了受惡意軟件感染的 Chrome 瀏覽器擴展。但根據谷歌方面的數據，只有不到1%的擴展中存在惡意軟件。

上周，谷歌表示，2024 年Chrome 瀏覽器網絡商店（目前包含 25 萬多個擴展程序）中只有不到 1%的安裝程序被發現包含惡意軟件。雖然這一數字已經很小，但仍有一些不良的擴展程序會通過，這也是它為什么還要監控已發布的擴展程序的原因。安全團隊指出，與任何軟件一樣，擴展程序也可能帶來風險。

但來自斯坦福大學和 CISPA 赫爾姆霍茲信息安全中心的研究人員 Sheryl Hsu、Manda Tran 和 Aurore Fass 對這些數字進行了精確計算。三人在研究論文中披露，他們研究了 Chrome 瀏覽器商店中的安全值得關注擴展（SNE）。SNE 被定義為包含惡意軟件、違反 Chrome 瀏覽器網絡商店政策或包含脆弱代碼的擴展。

調查發現，在 2020 年 7 月至 2023 年 2 月期間，有 3.46 億用戶安裝了 SNE。其中 6300 萬個違反了政策，300 萬個存在漏洞，2.8 億個 Chrome 瀏覽器擴展包含惡意軟件。

研究人員還發現，安全的 Chrome 瀏覽器擴展通常不會在商店中停留很長時間，一年后仍可使用的擴展僅占 51.8 - 62.9%。另一方面，SNE 在商店中的平均停留時間為 380 天（惡意軟件），如果包含易受攻擊的代碼，則為 1248 天。

存活時間最長的 SNE 名為 TeleApp，可用時間為 8.5 年，最后一次更新是在 2013 年 12 月 13 日，在 2022 年 6 月 14 日被發現包含惡意軟件后被刪除。通常用戶被建議查看用戶評分來判斷一個應用程序或擴展是否是惡意的，但研究人員發現，這對 SNE 毫無幫助。

研究人員表示，總的來說用戶并沒有給 SNE 較低的評分，表明用戶可能沒有意識到這類擴展是危險的。此外，也有可能是機器人給這些擴展程序提供了虛假評論和高評分。不過，考慮到半數 SNE 沒有評論，在這種情況下，使用虛假評論似乎并不普遍。

谷歌表示，一個專門的安全團隊會向用戶提供他們安裝的擴展的個性化摘要，在擴展發布到商店之前對其進行審查，并在發布之后對其進行持續監控。研究人員建議谷歌也監控擴展程序的代碼相似性。

報告指出：例如，大約有 1000 個擴展程序使用開源的 Extensionizr 項目，其中 65% 至 80% 仍在使用六年前該工具最初打包的默認和易受攻擊的庫版本。他們還指出，由于缺乏維護，在漏洞被披露后很長時間，擴展程序仍在商店中存在。

參考來源：https://www.techspot.com/news/103522-researchers-280-million-people-installed-malware-infected-chrome.html