根據網路安全研究機構 Socket 的最新分析，研究人員發現了一組針對 Google Chrome 與 Microsoft Edge 瀏覽器的惡意擴充功能攻擊行動，該活動被命名為 Superior。這場攻擊涉及 19 個擴充功能（其中 18 個位於 Chrome，1 個位於 Edge），其核心目的在於竊取使用者的加密貨幣錢包私鑰、種子密碼以及其他敏感金融資訊。
背景與攻擊手法
這場由 Superior 命名且可能早在 2024 年 2 月就已啟動的攻擊行動，展現了高度的供應鏈攻擊特徵。攻擊者並非僅僅發布明顯的惡意軟體，而是採取了一種更為隱蔽的策略：他們首先發布功能正常且乾淨的擴充功能，或者直接從原開發者手中購買已具備一定使用者基礎的合法插件。
一旦這些擴充功能在瀏覽器商店中獲得足夠的下載量與信任度，攻擊者便會發布包含惡意代碼的新版本。由於 Chrome 等瀏覽器預設會自動更新擴充功能，使用者在毫不知情的情況下，就會將原本安全的工具更新為具有竊取能力的惡意版本。在這次被發現的 19 個插件中，有 14 個是由攻擊者直接創建，另外 5 個則是透過收購合法插件而取得控制權。
核心技術運作方式
這些惡意插件在功能上採取雙軌制，對外依然維持原有的工具功能（例如 PDF 保護、SEO 分析或右鍵解鎖），但後台則與惡意伺服器建立連線。
首先，插件會與命令與控制伺服器（C2 Server，一種由攻擊者控制用以發送指令並接收 stolen data 的中繼伺服器）建立持久性的 WebSocket 連線。WebSocket 是一種允許伺服器主動向客戶端推送數據的通訊協定，這讓攻擊者能即時操控受害者的瀏覽器。為了降低被安全偵測系統發現的風險，Superior 採用了動態輪轉機制，會根據初始 C2 伺服器的指令，將受害者分配到不同的 C2 端點或數據外傳通道。
其次，在執行層面，惡意代碼會強制移除網頁的內容安全政策（Content Security Policy, CSP）。CSP 是一種安全機制，旨在防止跨站腳本攻擊（XSS），限制瀏覽器僅能載入信任來源的腳本。當 CSP 被移除後，插件便能將惡意的 JavaScript 模組注入到目標網站中。
目前研究人員已識別出 16 個不同的功能模組，涵蓋了極廣的竊取範圍： 第一類是針對加密貨幣的資產盜取，包括多鏈錢包排空工具（Wallet Drainer）以及針對硬體錢包種子密碼（Seed Phrase）的擷取。 第二類是帳號資訊竊取，針對加密貨幣交易所、Facebook 與 LinkedIn 帳號，以及通用表單中的憑據抓取。 第三類是系統操縱，例如竊取瀏覽器歷史紀錄，以及使用名為 ClickFix 的誘騙模組，透過偽造瀏覽器更新通知，誘導使用者將惡意指令複製並貼上到系統終端機執行。
影響與實務限制
此次攻擊的影響範圍相當廣泛。其中一款名為 Enable Right Click & Copy 的插件在 Chrome 與 Edge 上的總安裝量高達 8 萬人，這意味著大量使用者可能在不知情的情況下暴露了資產風險。
這類攻擊最危險之處在於它利用了瀏覽器生態系的信任鏈。使用者通常傾向於信任已上架商店且有評價的插件，而自動更新機制則將原本的「選擇安裝」變成了「強制更新」。即便使用者在安裝時檢查過權限，後續的版本更新也可能悄悄增加惡意行為。
然而，這類攻擊也存在一定的限制。由於其依賴於與 C2 伺服器的持續連線，一旦安全研究人員識別出 C2 端點並將其封鎖，或瀏覽器商店將該插件下架，攻擊路徑將被切斷。但對於已經被竊取的私鑰或種子密碼而言，損害通常是不可逆的。
總結來說，Superior 行動提醒了使用者，即使是看似簡單的生產力工具或已安裝一段時間的插件，也可能在更新後變成資產竊取工具。在處理加密貨幣等高價值資產時，避免在安裝了大量第三方插件的瀏覽器中輸入私鑰，並定期檢查插件權限，是目前最有效的防禦手段。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。