在由 Alon Klayman 和 Uri Kornitzer 领导的 Axon 团队的一份详细报告中，研究人员揭露了一个针对 Chrome 浏览器扩展开发人员的复杂活动。这次行动体现了网络威胁不断演变的本质，它将网络钓鱼、凭证窃取和恶意代码注入结合在一起，对开发人员和最终用户都造成了威胁。
2024 年 12 月 24 日，专门从事安全浏览器扩展的网络安全公司 Cyberhaven 在 Chrome 网上商城披露了其 Chrome 扩展的篡改版本，该活动首次曝光。据 Cyberhaven 称，此次漏洞源于一次成功的网络钓鱼攻击，该攻击诱骗一名员工授予恶意 OAuth 同意，从而为攻击者提供了访问谷歌 Chrome 浏览器网络商店的权限。
Axon团队的调查显示，被篡改的扩展包含恶意代码，可实现命令控制（C2）通信和凭证窃取。报告指出：“研究结果表明，针对 Chrome 浏览器扩展开发人员的这一威胁活动已持续了至少 7 个月，甚至更长时间。”
进一步分析发现，这并非一起孤立事件。该活动针对多个 Chrome 浏览器扩展开发人员，使用了类似的网络钓鱼方法，导致至少另外 35 个扩展受到攻击，250 多万用户可能受到影响。令人震惊的是，攻击者在 2024 年 12 月 28 日注册了一个新的恶意域。
恶意 OAuth 同意应用程序（来源：Cyberhaven）
攻击始于据称来自谷歌的钓鱼邮件，谎称收件人的扩展违反了 Chrome Web Store 政策。开发人员会被重定向到一个虚假的 OAuth 同意页面，在那里他们会被诱骗向恶意应用程序授予权限。这些权限允许攻击者篡改 Chrome 扩展，注入恶意代码，目的是
- 建立 C2 通信。
- 窃取敏感数据，包括 cookie。
报告解释说：“这种针对性极强的请求看似合法，因为它只关注与 Chrome 浏览器扩展相关的活动。”
Axon 团队发现了与此活动相关的 90 多个恶意域和 30 个 IP 地址。为了帮助检测和响应工作，报告中包含了量身定制的威胁猎取查询和 IOC，使安全团队能够发现其基础架构中的相关威胁。
报告最后紧急呼吁各组织迅速采取行动。Team Axon警告说：“这凸显了企业迅速采取行动并部署检测和缓解措施的紧迫性。”
1.本站内容仅供参考，不作为任何法律依据。用户在使用本站内容时，应自行判断其真实性、准确性和完整性，并承担相应风险。
2.本站部分内容来源于互联网，仅用于交流学习研究知识，若侵犯了您的合法权益，请及时邮件或站内私信与本站联系，我们将尽快予以处理。
3.本文采用知识共享 署名4.0国际许可协议 [BY-NC-SA] 进行授权
4.根据《计算机软件保护条例》第十七条规定“为了学习和研究软件内含的设计思想和原理，通过安装、显示、传输或者存储软件等方式使用软件的，可以不经软件著作权人许可，不向其支付报酬。”您需知晓本站所有内容资源均来源于网络，仅供用户交流学习与研究使用，版权归属原版权方所有，版权争议与本站无关，用户本人下载后不能用作商业或非法用途，需在24个小时之内从您的电脑中彻底删除上述内容，否则后果均由用户承担责任；如果您访问和下载此文件，表示您同意只将此文件用于参考、学习而非其他用途，否则一切后果请您自行承担，如果您喜欢该程序，请支持正版软件，购买注册，得到更好的正版服务。
5.本站是非经营性个人站点，所有软件信息均来自网络，所有资源仅供学习参考研究目的，并不贩卖软件，不存在任何商业目的及用途
暂无评论内容