正如你可能已经知道的,你可以访问网站,由于Web浏览器软件,如Chrome或Firefox. 现在,在这个软件中,浏览器扩展是给你的浏览器额外功能的小插件,如屏蔽广告,存储密码,或管理你的加密资金用一个方便的钱包。
浏览器扩展程序几乎可以做任何事情,它们提供了这样做的额外优势,而无需离开我们的网页浏览器。
但是,他们可能会带来高价。
一般风险
任何人都可以建立一个新的扩展,并申请在官方商店中列出或自行分发它,这就是网络犯罪分子如何找到他们的受害者。含有隐藏的恶意软件的扩展已经被用来窃取加密货币,劫持社交媒体帐户,并对用户进行间谍活动。
即使是合法的扩展也具有广泛的权限,他们可以做一些事情,比如修改所有网站,控制其界面或注入任何代码。With such intrusive permissions granted to all extensions, every piece is, by design, spyware, with the vast majority of them being well-intentioned spyware.如果它是恶意的,一个扩展可能会记录键键来窃取密码,注入广告,甚至在交易过程中交换加密货币钱包地址。
攻击者还分发流行的扩展版本的假版本(例如,有许多假的MetaMask版本),欺骗用户安装软件,默默地泄露数据或资金。
虽然官方扩展商店试图过滤威胁,但坏行为者仍然找到方法。在被发现之前,一些扩展仍然活跃了几个月,影响了数以千计的用户。攻击者还在这些商店之外传播恶意插件,将它们与盗版内容或钓鱼活动结合在一起。
一些恶意扩展
仅在2023年,网络安全公司发现了许多恶意的Chrome扩展。
这个扩展通过欺骗性的手段传播,包括假的区块链游戏安装程序,诈骗(假)电子邮件,甚至是误导性的PowerPoint文件。另一个主要威胁是ChromeLoader,它通过欺骗用户下载伪装为流行的游戏和媒体文件的盗版内容来安装持久的广告软件。
其他恶意扩展专注于窃取在线帐户。假的ChatGPT插件如“ChatGPT for Google”和“快速访问聊天GPT”通过捕捉会话cookie来劫持Facebook的业务帐户。攻击者使用受威胁的帐户来推广他们的恶意软件,确保持续的感染。
Overall, more than 87 million downloads of malicious extensions were recorded.许多人假装自己是合法的工具,例如PDF转换器和广告阻止器,欺骗了不怀疑的用户,尽管用户抱怨,但这些工具在Chrome Web Store中仍然存在数月,直到安全研究人员和在线社区向Google施压采取行动。
网络海湾案例
人们经常认为,如果他们被数字盗窃,这可能是他们自己的错误,因为他们没有采取足够的预防措施或陷入网络犯罪分子的欺骗. 然而,这并不总是如此。
Cyberhaven 遭到攻击后,其中一名员工被一封钓鱼电子邮件欺骗,该消息错误地声称该公司的浏览器扩展版违反了 Google 的政策,并要求采取紧急行动。With this access, the attackers uploaded a malicious version of the extension, which Chrome then automatically distributed to users through its update mechanism.
被篡改的扩展包含连接到远程服务器的代码,接收指示并监控用户活动. 它悄悄地窃取浏览器 Cookie 和密码,损害了数百万设备的敏感数据。
同样的事情可以发生在字面上任何扩展 -its developer account compromised and a new, malicious version of a previously legitimate extension pushed to its users通过浏览器的方便和快速的自动更新机制,而没有用户注意到。
保护自己
鉴于上述情况,我们必须同意
- 是的
- 如果你不需要那么多的扩展,不要添加它。 是的
- 如果您不经常使用该扩展,请禁用它. 只在必要时启用。 是的
- 如果您要使用的工具有其他版本(例如应用程序),请考虑该版本。 是的
- 在所有设备上安装和更新安全工具(防病毒,防火墙等)。 是的
- 在下载任何类型的软件之前,请研究其开发者、声誉和隐私政策,并检查其排名和下载次数;您可能已经选择了假版本。 是的
- 您不仅可以从官方商店下载扩展程序,还可以检查外部评论和社交媒体上的任何关于其开发者的消息。 是的
- 始终检查每个扩展所授予的权限,并尽量限制它们。 是的
- 在粘贴钱包地址时,留意你的剪辑板,以捕捉任何意外的变化。一些扩展程序可能像剪辑器恶意软件一样。使用Obyte,你可以通过通过textcoins或凭证发送资金来完全跳过使用地址。 是的
- 通过启用双重身份验证(2FA)来加强帐户的安全性,在Obyte钱包中,您可以通过在全球设置中设置多设备帐户来完成此操作。 是的
- 保护您的私钥在数字世界之外,并更喜欢浏览器外的钱包. 例如,Obyte钱包可用于移动和桌面,您可以在物理上写下后删除您的钱包种子。 是的
- 定期检查可靠的消息来源,以获取最新安全措施和加密领域的发展更新! 是的
由Freepik提供的矢量图像
