17 款下载量超 5 万的 Firefox 扩展程序中发现 GhostPoster 恶意软件

一场名为 GhostPoster 的新活动被发现利用 17款 Mozilla Firefox 浏览器扩展程序的 标志文件，嵌入旨在劫持联盟链接、注入追踪代码以及实施点击和广告欺诈的恶意JavaScript代码。

据发现此次活动的 Koi Security 称，这些扩展程序已被累计下载 超过5万次。目前相关插件已不可用。

这些浏览器程序被宣传为VPN、截图工具、广告拦截器以及非官方版本的谷歌翻译等。其中最早上架的扩展程序 Dark Mode 发布于2024年10月25日，声称能为所有网站启用深色主题。受影响的浏览器扩展程序完整列表如下：

安全研究人员 Lotan Sery 和 Noga Gouldman 表示：”它们实际交付的是一个多阶段恶意软件载荷，会监控你浏览的所有内容，剥离浏览器的安全防护，并打开一个用于远程代码执行的后门。“

攻击链始于加载上述任一扩展程序时获取其标志文件。恶意代码会解析该文件，寻找包含”===”标记的特定部分，以提取出JavaScript代码——一个加载器。该加载器会联系外部服务器以获取主载荷，每次尝试之间等待 48小时。

为进一步逃避检测，加载器被设定为仅在 10% 的情况下才去获取载荷。这种随机性是蓄意设计，旨在规避网络流量监控。

获取的主载荷是一个经过自定义编码的全面工具包，能够在受害者不知情的情况下通过四种方式从其浏览器活动中牟利：

研究人员解释道：”为什么恶意软件需要绕过验证码？因为其部分操作（如隐藏iframe注入）会触发机器人检测。恶意软件需要证明自己是’人’才能继续运行。“

除了概率检查，这些扩展程序还采用了基于时间的延迟，确保在安装超过六天后恶意软件才会激活。这些分层规避技术使得发现其幕后活动更加困难。

需要强调的是，并非所有上述扩展程序都使用完全相同的隐写攻击链，但它们都表现出相同的行为，并与相同的命令与控制基础设施通信，这表明这很可能是同一威胁行为者或组织所为，他们尝试了不同的诱饵和方法。

就在几天前，一款流行的适用于谷歌Chrome和微软Edge的VPN扩展程序被发现秘密收集ChatGPT、Claude和Gemini的AI对话，并将其外泄给数据代理商。而在2025年8月，另一款名为FreeVPN.One的Chrome扩展被发现收集屏幕截图、系统信息和用户位置。

“免费VPN承诺隐私，但天下没有免费的午餐，” Koi Security 评论道，”一次又一次，它们带来的是监控。“

消息来源：thehackernews；

本文由 HackerNews.cc 翻译整理，封面来源于网络；

文章版权归原作者所有，转摘请注明出处。文章内容仅代表作者独立观点，不代表安全壹壹肆&安全114的立场，转载目的在于传递网络空间安全讯息。部分素材来源于网络，如有侵权请联系首页管理员删除。

THE END

立级修补！PuTTY 曝出密钥泄露严重漏洞