資安公司Synacktiv的研究發現，駭客可以透過直接修改這些檔案，在使用者毫無察覺的情況下，強制瀏覽器載入任何擴充功能，甚至完全繞過官方的Chrome線上應用程式商店。記者孫敬／編譯

許多人可能不知道，包括Chrome、Edge和Brave在內的Chromium瀏覽器，擴充功能的設定檔都儲存在一個名為 %AppData%\Google\User Data\Default\Preferences 或 Secure Preferences 的JSON檔案中。資安公司Synacktiv的研究發現，駭客可以透過直接修改這些檔案，在使用者毫無察覺的情況下，強制瀏覽器載入任何擴充功能，甚至完全繞過官方的Chrome線上應用程式商店。

延伸閱讀：全新釣魚郵件手法？駭客假冒GitHub官方通知竊取開發者帳密

[caption id="attachment_89955" align="aligncenter" width="1200"] 擴充功能的設定檔成為駭客鎖定的目標。（圖／科技島資料照）[/caption]

駭客行動前需要完成的三個步驟

這種攻擊手法之所以能夠成功，主要有三個技術上的關鍵：

• 預先計算擴充功能ID：駭客必須準確計算出擴充功能的ID。這個ID是由擴充功能的公鑰或安裝路徑，經過SHA-256雜湊演算法計算，再轉換成特定的字母組合。
• 生成有效的訊息認證（MAC）：為了繞過瀏覽器的完整性檢查，駭客需要為擴充功能和開發者模式標誌生成有效的MAC。這需要駭客逆向工程瀏覽器內部的HMAC演算法，並使用正確的靜態密鑰來簽名。
• 繞過企業資安政策：企業環境通常會透過群組原則物件（GPO）來設定白名單或黑名單，控制哪些擴充功能可以被安裝。

三大進階手法，突破企業防線

駭客並不會輕易被企業的資安政策阻擋。Synacktiv的研究進一步揭示了三種高階的規避方法，讓他們能夠成功突破防線：

1. 盜用合法擴充功能的ID：駭客可以重複使用企業已批准的擴充功能（例如Adobe Acrobat Reader）的RSA公鑰，來生成一個相同的擴充功能ID。接著，他們將一個惡意的未封裝擴充功能（unpacked extension）注入到這個ID下，藉此繞過依賴雜湊值來檢測的白名單。
2. 利用「ID碰撞」悄悄替換：當一個未封裝的擴充功能與一個從商店安裝的擴充功能擁有相同的ID時，Chromium瀏覽器會優先載入這個未封裝的版本。這種「ID碰撞」的特性，使得駭客能夠神不知鬼不覺地用惡意程式覆蓋掉受信任的擴充功能。
3. 修改登錄檔移除政策：即使企業部署了政策，駭客也可以透過刪除或修改Windows登錄檔中的相關項目，直接移除瀏覽器擴充功能的白名單或黑名單，從而完全繞過政策限制。

如何防禦幽靈擴充功能的威脅？

一旦這些惡意擴充功能被成功植入，駭客就能進行各種惡意行為，例如：攔截網路流量、竊取使用者連線紀錄、執行背景服務，甚至是將惡意程式碼注入到目標網頁中。Synacktiv的概念驗證工具也證實了，駭客能夠透過遠端部署與客製化的C2伺服器，在瀏覽器中執行JavaScript，進而繞過各種加密保護。

為了有效防禦這種新型攻擊，企業與個人用戶必須提高警覺，採取以下防護措施：

• 監控核心檔案：監控瀏覽器設定檔是否有未經授權的變更。
• 驗證登錄檔完整性：定期檢查Windows登錄檔，確保企業政策沒有被惡意篡改。
• 偵測異常擴充功能註冊：建立偵測機制，即時發現異常的擴充功能安裝行為。

若缺乏這些偵測與防禦機制，這種被稱為「幽靈擴充功能」（Phantom Extensions）的攻擊手法，將成為駭客在企業內部進行資料竊取與橫向移動的絕佳途徑。

資料來源：Cyber Security News

這篇文章 瀏覽器擴充功能成資安破口？駭客如何靜悄悄植入惡意程式 最早出現於 科技島-掌握科技新聞、科技職場最新資訊。

微軟近日宣布一項重大決策，將於2025年10月31日終止熱門的Microsoft Editor瀏覽器擴充套件。記者孫敬／編譯

微軟近日宣布一項重大決策，將於2025年10月31日終止熱門的Microsoft Editor瀏覽器擴充套件，未來用戶將不再需要額外安裝，就能直接在Microsoft Edge原生校對工具中使用由AI驅動的寫作輔助功能。隨著新版本上線後，IT人員無需手動調整任何設定或群組原則物件（GPO），Edge內建的校對工具將會自動接管所有編輯器職責。

延伸閱讀：Google反壟斷案獲歷史性勝利！法官裁定無需拆分Chrome與Android

[caption id="attachment_190450" align="aligncenter" width="1280"] Microsoft Editor瀏擴充套件的功能將被AI取代。（圖／Microsoft Editor）[/caption]

微軟告別擴充套件時代，AI功能將全面內建

過往透過擴充套件提供的進階功能，例如即時語法分析、情境式風格檢查以及由AI驅動的重寫建議等，未來都將直接嵌入Edge的校對引擎中，並運用瀏覽器內建的自然語言處理（NLP）與機器學習模型來執行。

在擴充套件除役之前，仍可繼續使用擴充套件。在此之後，所有拼字檢查、文法修正與寫作建議等功能，都將直接整合在Edge的「語言與校對」設定中。微軟鼓勵用戶盡快熟悉這個全新的UI介面，包含可調整AI建議、自訂字典與檢視修改歷史等選項，讓寫作輔助變得更有效率。

這次更新是為了將AI服務統一整合至核心應用程式中，減少軟體碎片化，並簡化更新流程。透過將編輯器功能內建於Edge，微軟希望提供更流暢、高效能且安全的寫作輔助，而不再需要仰賴獨立的瀏覽器外掛。

資料來源：Cyber Security News

這篇文章 微軟宣布Microsoft Editor將於10月底退役 功能將內建於Edge瀏覽器 最早出現於 科技島-掌握科技新聞、科技職場最新資訊。

賽門鐵克近日發出警告，指出數款廣受用戶青睞的Google Chrome瀏覽器擴充功能，存在著資安漏洞。記者孫敬／編譯

根據外媒報導，全球資安研究公司Symantec（賽門鐵克）近日發出警告，指出數款廣受用戶青睞的Google Chrome瀏覽器擴充功能，存在著資安漏洞，而這些漏洞主要分為兩大類：透過未加密的HTTP連線傳輸敏感數據，以及在JavaScript程式碼嵌入了關鍵的機密金鑰。

延伸閱讀：微軟推出全新「歐洲安全計畫」 結合AI共享威脅情報強化資安

熱門Chrome擴充功能現資安漏洞，數據傳輸與機密金鑰存高風險

賽門鐵克的安全研究員Yuanjing Guo表示，部分擴充功能在數據傳輸時，未能使用安全的HTTPS加密協定，仍採用傳統的HTTP。這使得用戶的瀏覽網域、機器識別碼、作業系統細節、使用分析數據，甚至是解除安裝資訊，都以明文形式在網路中傳輸。如此一來，數據極易受到「中間人攻擊」（AitM）的威脅，讓惡意份子在同一網路環境下（如公共Wi-Fi）輕易攔截、甚至竄改數據，可能導致嚴重後果。

受影響的擴充功能包括：SEMRush Rank、PI Rank、Browsec VPN、MSN New Tab、MSN Homepage, Bing Search & News。特別值得注意的是，DualSafe Password Manager & Digital Vault這款密碼管理器，儘管未直接洩露用戶密碼，其遙測數據卻透過未加密的HTTP傳輸，嚴重損害了其作為安全工具的信任度。

程式碼硬編碼機密金鑰，潛在攻擊面擴大

除了未加密數據傳輸，賽門鐵克還發現另一類擴充功能存在更嚴重的漏洞：它們直接將API金鑰、機密和代幣等敏感資訊寫死（Hard-coded）在JavaScript程式碼中，攻擊者可依此送出惡意請求並執行多種攻擊行為。

這類漏洞可能造成的潛在風險包括：

• 服務濫用與成本暴增： 攻擊者可利用外洩的GA4 API金鑰（如 Online Security & Privacy extension、AVG Online Security 等）進行攻擊；或利用Azure語音辨識API金鑰（如 Equatio – Math Made Digital）消耗開發者的服務額度或增加成本。
• 非法訪問與內容上傳： 某些擴充功能（如Awesome Screen Recorder & Screenshot和Scrolling Screenshot Tool & Screen Capture）暴露了AWS存取金鑰，可能導致攻擊者未經授權訪問雲端儲存空間。
• 用戶數據追蹤與模擬交易： Microsoft Editor遭爆出遠端遙控金鑰；Trust Wallet則流出了Web3平台Ramp Network的API金鑰，恐被用於模擬加密貨幣交易訂單。
• 第三方函式庫連帶風險： Antidote Connector 等擴充功能使用的InboxSDK函式庫，也含有硬編碼憑證，且有超過90個擴充功能使用此函式庫，風險影響範圍廣泛。

這篇文章 Chrome擴充功能潛藏資安陷阱！受影響的範圍一次看 最早出現於 科技島-掌握科技新聞、科技職場最新資訊。