事件回顾：插件市场的“隐形炸弹”
近期，一款名为 ModHeader 的 Chrome 插件被安全研究人员曝出存在严重安全隐患。该插件因其强大的 HTTP 请求头修改功能，在开发者和测试人员中拥有极高的装机量，全球用户数高达 90 万。
从我们的应急响应经验来看，浏览器插件往往是企业办公环境中的“盲区”。由于插件通常拥有极高的浏览器权限，一旦被恶意植入代码，后果不堪设想。此次事件中，ModHeader 的 7.0.18 版本在官方商店分发渠道被植入了一套完整的“监控架构”。尽管该代码在触发条件上设置了延迟，但其恶意意图极为明确，属于典型的供应链投毒攻击。
深度剖析：隐蔽的攻击链与技术手段
此次攻击最令人警惕的地方在于其高度的隐蔽性。攻击者并未直接通过恶意软件攻击，而是通过合法的插件更新机制，将恶意代码下发至所有用户终端。
在技术实现上，该插件利用了 Service Worker 的特性，构建了一套复杂的数据收集机制：
首先，插件内置了设备指纹采集功能，能够获取终端的唯一标识符。其次，它利用 IndexedDB 作为本地暂存区，将用户访问的域名信息进行提取。为了躲避流量检测，这些数据被硬编码的 AES-GCM 密钥加密后暂存。
最值得关注的是其“休眠”机制。恶意代码中包含了一个名为 allow-list 的白名单控制逻辑。在分析版本中，由于该白名单为空，收集逻辑被强制挂起，导致恶意行为并未大范围触发。然而，这种逻辑随时可以通过远程配置更新进行开启，且无需用户重新授权。这一环节是很多企业容易忽视的，因为大多数安全策略只检查安装时的权限，却忽略了插件后续逻辑的动态演变。
溯源发现：官方签名的陷阱
经研究人员验证，该恶意版本确实通过了 Google Chrome Web Store 的官方审核，并带有合法的开发者签名和 Google 签名。这意味着攻击者不仅绕过了商店的静态扫描，还可能通过窃取开发者凭据或渗透开发流程，将恶意组件直接集成到了受信任的发布包中。类似攻击近年来明显增加，攻击者正从传统的钓鱼转向利用软件供应链的信任链条进行“精准打击”。
Solar 团队安全建议
针对此类浏览器插件带来的安全风险，Solar 应急响应团队建议企业及个人用户采取以下措施：
资产盘点与清理：企业应立即对办公终端进行排查，确认是否安装了 ModHeader 插件。对于已安装的设备，应强制执行卸载操作，并清理浏览器缓存及插件相关的 IndexedDB 数据。
强化端点管控：通过企业级策略（如 GPO 或 MDM）限制员工在办公浏览器中安装未授权插件。对于开发人员使用的必要工具，应建立内部白名单机制，并在使用前进行独立的安全评估。
网络监测：关注企业出口流量中是否存在与已知恶意域名（如 api.stanfordstudies.com 或 extensions-hub.com）的通信行为。
动态风险感知：不要轻信“官方商店”的安全性。对于拥有高权限（如读取所有网站数据、修改请求头）的插件，应保持高度警惕，定期通过安全工具扫描终端插件列表，发现异常行为及时处置。
如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816 官网：www.solarsecurity.cn / www.sierting.com