Chrome應(yīng)用商店中兩款名為“Phantom Shuttle”的擴(kuò)展程序，正偽裝成代理服務(wù)插件，暗中劫持用戶網(wǎng)絡(luò)流量并竊取敏感數(shù)據(jù)。

據(jù)研究人員報(bào)告顯示，這兩款插件仍在Chrome官方應(yīng)用商店上架，且至少自2017年起便已活躍。

Phantom Shuttle的目標(biāo)用戶多為需要測(cè)試不同地區(qū)網(wǎng)絡(luò)連通性的外貿(mào)從業(yè)者。兩款插件由同一開發(fā)者發(fā)布，均以“可代理流量、測(cè)試網(wǎng)速”為宣傳點(diǎn)，訂閱價(jià)格在1.4至13.6美元之間。

Chrome 應(yīng)用商店中的Phantom Shuttle

隱秘的數(shù)據(jù)竊取功能

Socket.dev研究人員指出，Phantom Shuttle會(huì)將用戶所有網(wǎng)絡(luò)流量路由至攻擊者控制的代理服務(wù)器，且通過硬編碼憑證實(shí)現(xiàn)訪問——相關(guān)惡意代碼被嵌入到合法的jQuery庫(kù)中，以規(guī)避檢測(cè)。

惡意代碼采用自定義字符索引編碼方案隱藏硬編碼的代理憑證，并通過網(wǎng)絡(luò)流量監(jiān)聽器，攔截所有網(wǎng)站的HTTP認(rèn)證請(qǐng)求。為強(qiáng)制用戶流量經(jīng)由攻擊者代理傳輸，該惡意插件會(huì)通過自動(dòng)配置腳本，動(dòng)態(tài)修改Chrome瀏覽器的代理設(shè)置。

在默認(rèn)的“智能模式”下，插件會(huì)將170余個(gè)高價(jià)值域名的流量路由至代理網(wǎng)絡(luò)，涵蓋開發(fā)者平臺(tái)、云服務(wù)控制臺(tái)、社交媒體網(wǎng)站及成人內(nèi)容門戶等。本地網(wǎng)絡(luò)與命令控制域名則被列入排除清單，以此避免攻擊行為中斷或被檢測(cè)發(fā)現(xiàn)。

作為中間人，該插件可捕獲各類表單數(shù)據(jù)（包括賬戶憑證、銀行卡信息、密碼、個(gè)人信息等），竊取HTTP頭中的會(huì)話Cookie，并從請(qǐng)求中提取API令牌。

研究人員建議Chrome用戶：僅信任知名開發(fā)者發(fā)布的擴(kuò)展程序，安裝前查看多方用戶評(píng)價(jià)，并留意插件申請(qǐng)的權(quán)限范圍，避免因惡意插件導(dǎo)致數(shù)據(jù)泄露。

參考及來源：https://www.bleepingcomputer.com/news/security/malicious-extensions-in-chrome-web-store-steal-user-credentials/