在过去 3 年中，有 2.8 亿人安装了危险的 Chrome 浏览器扩展程序
内容提要
最新报告显示，过去三年中有2.8亿人安装了受恶意软件感染的Chrome浏览器扩展。其中有3.46亿用户安装了安全值得关注的扩展，但其中6300万个违反了政策，300万个存在漏洞，2.8亿个扩展包含恶意软件。研究人员建议谷歌监控扩展程序的代码相似性。
延伸解读
恶意扩展的长期潜伏与安全扩展的短暂生命周期
研究发现，恶意扩展在Chrome商店的平均停留时间长达380天，而包含易受攻击代码的扩展更是达到1248天。相比之下，安全扩展一年后仍可用的比例仅为51.8%至62.9%。这种反差表明，恶意或脆弱扩展往往能更久地留在商店中，增加了用户持续暴露于风险的时间。用户需意识到，扩展上架时间长短并不能作为安全性的判断依据。
用户评分为何难以识别恶意扩展
通常用户会参考评分判断扩展是否安全，但研究人员发现，这对安全值得关注的扩展（SNE）并无帮助。许多SNE并未获得低评分，用户可能没有意识到其危险性。此外，虽然可能存在机器人刷好评的情况，但考虑到半数SNE没有评论，虚假评论似乎并不普遍。因此，仅依赖评分来筛选扩展并不可靠，用户应保持警惕。
代码相似性监控：谷歌可加强的防御方向
研究人员建议谷歌监控扩展程序的代码相似性。例如，约1000个扩展使用开源项目Extensionizr，其中65%至80%仍在使用六年前打包的默认且易受攻击的库版本。由于缺乏维护，这些扩展在漏洞披露后仍长期存在于商店中。通过代码相似性分析，谷歌可以更有效地识别和处置这类存在已知风险的扩展，提升整体安全性。
Q&A
有多少人安装了受恶意软件感染的Chrome扩展？
过去三年中，有2.8亿人安装了受恶意软件感染的Chrome浏览器扩展。
Chrome扩展中恶意软件的比例是多少？
谷歌数据显示，Chrome浏览器扩展中只有不到1%存在恶意软件。
哪些类型的Chrome扩展被认为是安全值得关注的？
安全值得关注的扩展包括包含恶意软件、违反政策或包含脆弱代码的扩展。
用户评分对判断扩展是否恶意有帮助吗？
研究发现，用户评分对判断扩展是否恶意并无帮助，许多恶意扩展未获得低评分。
谷歌如何监控Chrome扩展的安全性？
谷歌有专门的安全团队监控扩展，提供个性化摘要，并在发布后持续监控。
恶意软件扩展的平均停留时间是多少？
恶意软件扩展的平均停留时间为380天。
