研究员指出 Chrome 应用商店中的恶意扩展程序。

研究员指出 Chrome 应用商店中的恶意扩展程序。 不久前，研究员在 Google 的 Chrome 网上应用店中发现了几十个恶意扩展程序，最受欢迎的插件下载量超过 900 万次，这些插件总下载量为 8700 万次。 网络安全研究员 Vladimir Palant 在 Chrome网上应用店中发现一个下载量接近200万次的 PDF Toolbox 的扩展程序，其中包含可疑代码。该扩展在用户查看的所有页面上加载任意代码。 进一步的分析显示总共有 34 个恶意扩展，它们总共被下载了 8700 万次。研究人员发现的最流行的恶意插件是“Autoskip for Youtube”，下载量达 900 万次。 这些扩展程序于 2021 年和 2022 年上传到 Chrome 网上应用店，在其中一些评论区中，警惕的用户抱怨扩展程序用广告软件链接替换搜索结果中的地址，但并未被Google注意到。 在Palant的研究报告以及一个专家团队关于同一主题的另一篇论文发表后，谷歌终于删除了这些危险的扩展。

迅雷被安全研究人员爆锤 懈怠回应导致大量漏洞被研究人员公开

迅雷被安全研究人员爆锤 懈怠回应导致大量漏洞被研究人员公开 日前安全研究人员 Wladimir Palant 在自己的网站上手撕迅雷，指责迅雷客户端存在大量漏洞的同时，迅雷对修复工作不积极或者说不愿意与研究人员沟通，最终结果是研究人员在期满 (90 天) 后公布了这些漏洞。从研究人员公布的研究来看，迅雷客户端其实就是一个筛子，上面遍布漏洞，因为迅雷为了尽可能留住用户提供了大量功能，这些功能都是拼凑的。由于漏洞以及相关细节比较多，这里我们简单梳理下，想要了解所有漏洞及完整细节可以在研究人员的博客中查看。下面是漏洞时间线：2023 年 12 月 6 日～12 月 7 日：研究人员通过迅雷安全响应中心提交了 5 个漏洞报告，实际上报告的漏洞数量更多，在报告中研究人员明确提到最终披露时间是 2024 年 3 月 6 日。2023 年 12 月 8 日：研究人员收到回信，迅雷安全响应中心称已经收到报告，一旦复现漏洞将与研究人员联系 (这应该是自动回复的通知模板)。2024 年 2 月 10 日：研究人员向迅雷提醒称距离漏洞公布只有 1 个月时间了，因为有些厂商会忘记截止日期，这个并不少见，于是研究人员发了提醒。2024 年 02 月 17 日：迅雷安全响应中心称对漏洞进行了验证，但漏洞尚未完全修复，也就是确认了漏洞存在，但由于 shi 山代码太多，一时三刻没法修复，为什么说是 shi 山代码看后面的说明。附研究人员关于迅雷安全响应中心的吐槽：限制仅通过 QQ 或微信登录，这对于国外研究人员来说很难，幸好在底部还留了个邮箱。安全问题一：使用 2020 年 4 月的 Chromium迅雷客户端为了尽可能留住用户并塞广告，直接集成了一个浏览器，这个使用迅雷的用户应该都知道，还集成了诸如播放器等功能。然而迅雷当然不会自己开发浏览器，迅雷集成了 Chromium 浏览器，这没问题，但集成的版本还是 2020 年 5 月发布的 83.0.4103.106 版。这个老旧版本存在数不清的漏洞，漏洞多到令人发指，毕竟已经四年了，有大量漏洞是很正常的，而且有一些高危漏洞，而迅雷至今没有更新。这也是前文提到的 shi 山代码太多的原因之一，对迅雷来说或许升级个 Chromium 版本都是很难的事情，因为要处理一大堆依赖。安全问题二：迅雷还集成 2018 年的 Flash Player 插件所有浏览器都在 2020 年 12 月禁用了 Adobe Flash Player 插件，这个播放器插件也存在巨量漏洞，但迅雷直接忽略了。迅雷内置的 Chromium 浏览器还附带了 Flash Player版，这个版本是 2018 年 4 月发布的，迅雷甚至都没更新到 Adobe 发布的最后一个安全更新。安全问题三：拦截恶意地址简直是搞笑迅雷也用实际行动告诉我们什么是草台班子，迅雷内置的浏览器有拦截恶意地址的功能，包括非法网站和恶意网站等。但迅雷还特别做了一个白名单机制，即域名中的白名单在内置浏览器中的访问是不受限制的，白名单域名就包括迅雷自己的 xunlei.com在初始版本中，研究人员提到任意域名结尾追加？xunlei.com 那就能通过验证，比如 https:// ... 是个大聪明。在后续版本中研究人员删除了上面的说法，但保留了另一个问题，那就是 https:// ./ 可以访问，因为迅雷无法处理 com.安全问题四：基于老旧的 Electron 框架开发迅雷主要就是基于 Electron 框架开发的，但迅雷使用的版本是 830.4103.122 版，发布于 2020 年 4 月份，和上面提到 Chromium 老旧版本情况类似，也都是筛子，这也是 shi 山代码之二，迅雷肯定因为某种原因好几年了都不敢动这些框架版本。上面只是其中几个典型的安全问题，研究人员在博客中还罗列了关于插件、API、过时的 SDK 等大量问题，内容比较多这里不再转述。迅雷修复了吗？迅雷并没有直接忽视研究人员的报告，事实上研究人员发现自己的实例代码页面被访问，说明迅雷的工程师也确实在处理。同时研究人员在 2 月份的迅雷新版本中还注意到迅雷删除了 Adobe Flash Player 集成，但如果用户主动安装了，那还是会被激活。所以可以断定迅雷并没有直接忽视漏洞，只不过由于 shi 山代码太多，一时三刻解决不了，而迅雷最大的问题就是没有及时与研究人员沟通，整整三个月迅雷除了一个自动回复外，就在 2 月份回了表示还在修复的邮件，既没有提到是否需要延长漏洞公开时间、也没有与研究人员沟通细节。于是到 3 月 6 日研究人员直接公布了所有漏洞，迅雷好歹也有千万级的用户，无论是迟迟不更新框架版本还是懈怠处理漏洞，都会给用户造成严重的安全问题。目前迅雷并未彻底解决研究人员提到的所有问题 (应该只修复了一小部分？)，建议使用迅雷的用户注意安全，如果不经常使用的话，可以考虑直接卸载掉。 ... PC版： 手机版：

中国公司收购 Polyfill 之后植入恶意程序

中国公司收购 Polyfill 之后植入恶意程序 polyfill.js 是广泛使用的用于支持旧浏览器的开源库，有逾 10 万网站通过 cdn.polyfill.io 域名嵌入了该脚本。今年二月，一家中国公司收购了该域名和相关 Github 账号，然后通过 cdn.polyfill.io 向移动设备植入恶意程序。新拥有者还迅速删除了 Github 上的相关讨论。Polyfill 原作者建议移除该脚本，因为现代浏览器不再需要它，但如果必须使用，可以用 CDN 服务商 Fastly 和 Cloudflare 的替代。安全研究人员发现，植入的恶意程序使用假的 Google 分析域名 www.googie-anaiytics.com 将移动设备用户重定向到博彩网站。代码针对逆向工程有特定保护代码，而且只在特定时间对特定移动设备激活。它在检测到管理员后不会激活。当检测到网络分析服务时它会延迟执行。研究人员给恶意程序起名为“跳转（tiaozhuan）”恶意代码使用的一个函数名叫 check_tiaozhuan。 via Solidot

MIT 研究人员发现苹果 M1 芯片无法修复的硬件漏洞

MIT 研究人员发现苹果 M1 芯片无法修复的硬件漏洞 MIT 研究人员发现苹果 M1 芯片存在一个无法修复的硬件漏洞，允许攻击者突破最后一道安全防线。漏洞存在于 M1 芯片硬件层安全机制 PAC（pointer authentication codes） 中。 PAC 旨在加大向硬件内存注入恶意代码的难度，为抵御缓冲区溢出漏洞增加一层防御。但 MIT 的研究人员开发出了一种新颖的硬件攻击Pacman ，利用预测执行泄露 PAC 验证结果。 研究人员证明该攻击对系统内核也有效。攻击是在本地进行的，攻击者需要登陆进系统并安装一个定制的 kext，操作难度很大。 IEEE Spectrum，solidot

@sunwear：莫斯科卡巴斯基实验室的研究人员证实拼多多安装程序有恶意代码，破坏攻击用户手机系统。现在中美俄三国，除了中国都在

@sunwear：莫斯科卡巴斯基实验室的研究人员证实拼多多安装程序有恶意代码，破坏攻击用户手机系统。现在中美俄三国，除了中国都在锤拼多多，大概我们监管机构没有人看得懂代码和程序，也不懂技术。 #抽屉IT

研究人员表示，数百万部手机在出厂时就已经感染了恶意软件

研究人员表示，数百万部手机在出厂时就已经感染了恶意软件 BLACK HAT ASIA 的Trend Micro 研究人员表示，Black Hat Asia 不法分子甚至在设备出厂前就用恶意固件感染了全球数百万台 Android。 这种硬件主要是廉价的 Android 移动设备，尽管智能手表、电视和其他东西也包含在其中。 这些小工具的制造外包给原始设备制造商 (OEM)。研究人员表示，这种外包使得生产链中的某个人（例如固件供应商）有可能在产品发货时用恶意代码感染产品。 该恶意软件的目的是窃取信息或从收集或提供的信息中获利。 该恶意软件将设备变成代理，用于窃取和出售 SMS 消息、接管社交媒体和在线消息帐户，并通过广告和点击欺诈作为获利机会。 一种代理插件，允许犯罪分子一次最多出租设备约五分钟。例如，那些租用设备控制权的人可以获得有关击键、地理位置、IP 地址等的数据。 通过遥测数据，研究人员估计全球至少存在数百万台受感染设备，但主要集中在东南亚和东欧。研究人员表示，犯罪分子自己报告的统计数据约为 890 万。