用Chrome浏览器的注意啦！最近有研究发现，Chrome Web Store上的数十个扩展程序存在隐藏的跟踪代码，这些扩展程序不仅会泄露你的隐私，还可能带来安全风险。赶紧来看看哪些扩展程序中招了，以及如何保护自己的隐私。
57个扩展程序被曝光，累计安装量近600万
据Secure Annex研究员John Tucker的调查，Chrome Web Store上有57个扩展程序被发现存在隐藏跟踪代码。这些扩展程序的累计安装量接近600万，其中一些非常受欢迎的扩展程序安装量超过20万，包括：
- Cuponomia – Coupon and Cashback：700,000
- Fire Shield Extension Protection：300,000
- Total Safety for Chrome：300,000
- Protecto for Chrome：200,000
- Browser WatchDog for Chrome：200,000
- Securify for Chrome：200,000
- Browser Checkup for Chrome by Doctor：200,000
- Choose Your Chrome Tools：200,000
这些扩展程序大多未列明（unlisted），这意味着它们不会被搜索引擎索引，也不会出现在Chrome Web Store的搜索结果中。用户只能通过直接链接访问这些扩展程序。
未列明扩展程序的潜在风险
未列明的扩展程序本身就是一个警示信号。Tucker指出，许多公司通过未列明的扩展程序提供软件，因为这样可以让普通用户更难找到这些扩展程序，从而在功能不可用时遇到障碍。这种方式也被用来针对用户安装恶意扩展程序，同时极难被安全团队检测到。
Fire Shield Extension Protection：典型的恶意扩展程序
Tucker首先检查的扩展程序之一是Fire Shield Extension Protection，这是一个未列明的扩展程序，安装量达30万，用户评分仅2.2。该扩展程序声称可以检查你的其他扩展程序并根据其使用的权限进行分析，然后在发现可疑情况时警告用户。然而，Tucker发现，该扩展程序的权限“过于广泛”且代码“高度混淆”。这些权限允许扩展程序：
- 访问Cookie并跟踪用户的浏览器行为
- 修改搜索提供商及搜索结果
- 在访问的页面上注入和执行远程脚本（通过iFrames）
此外，该扩展程序还被发现引用了域名unkonw.com，这进一步引起了Tucker的怀疑。
这些扩展程序的真正威胁
Tucker表示，虽然他未能发现这些扩展程序窃取用户凭据的实例，但这种程度的混淆、扩展程序配置可被远程控制、在多个不同扩展程序中出现的这些模式，以及浏览器扩展程序代码的功能，足以让他得出结论：这些扩展程序属于一类间谍软件或信息窃取者。这就是这些扩展程序在可被远程控制时所构成的核心问题和威胁。
如何保护自己的隐私
为了保护自己的隐私，建议采取以下措施：
- 检查已安装的扩展程序：前往Chrome的扩展程序管理页面（
chrome://extensions/），查看你是否安装了上述列表中的任何扩展程序。如果有，立即删除。 - 谨慎安装扩展程序：仅从可信来源安装扩展程序，并仔细审查其权限。避免通过直接链接安装未列明的扩展程序。
- 使用安全工具：考虑安装如Privacy Badger或uBlock Origin等可信的隐私扩展程序，以阻止跟踪器并增强浏览安全。
- 保持更新：定期检查Chrome的安全设置和扩展程序更新，确保使用最新版本以修补潜在漏洞。
评论