這是一個非常典型的瀏覽器擴充功能供應鏈攻擊案例。近期 Google 與 Microsoft 分別從 Chrome 和 Edge 商店下架了知名 Header 編輯工具 ModHeader。這款工具擁有約 160 萬名使用者，其核心功能是讓開發者或測試人員能自定義 HTTP Header（HTTP 標頭，即在網路請求中傳遞的元數據，用於定義內容類型、認證資訊等）。
這次事件最令人不安的不是它已經竊取了多少資料，而是在其官方版本中被發現了「潛伏」的數據收集機制。
潛伏的監控機制是如何運作的
安全公司 Stripe OLT 的分析顯示，ModHeader 的程式碼中隱藏了一套完整的瀏覽紀錄收集流程。這套流程包含以下步驟：
首先，擴充功能在首次執行時會建立裝置指紋（Device Fingerprint，一種透過瀏覽器特性識別唯一使用者的技術），並載入一個硬編碼的加密金鑰。
其次，當使用者瀏覽網頁時，系統會自動擷取每個頁面的網域（Domain），將其加密後儲存在本地端，最多紀錄 1000 個不同網域。
最後，系統內建了一個排程器，每天會將加密後的網域清單連同裝置指紋一起上傳到後端伺服器，上傳後立即清除本地紀錄。為了避免大量設備同時上傳導致伺服器崩潰或被偵測，上傳時間會為每個安裝版本設定隨機偏移。
為什麼自動化掃描工具沒發現
許多工程師習慣信任商店的審核機制或使用自動化安全掃描工具，但 ModHeader 的設計巧妙地繞過了這些檢查：
第一，它是潛伏狀態。該收集機制依賴一個內部白名單（Allow-list）來決定是否啟動。而發布的版本中，這個白名單是空的。這意味著在沙箱（Sandbox，一種隔離的測試環境）中運行時，代碼路徑永遠不會被觸發，掃描器看不到任何資料外流。
第二，資料經過加密。即便掃描器發現有資料在傳輸，看到的也是密文（Ciphertext），無法直接判定其內容是敏感的瀏覽紀錄。
第三，利用信任背書。該擴充功能經過商店簽署（Store Signature），證明檔案來源正確。但簽署只能證明是原作者上傳的，不能證明程式碼內部沒有惡意邏輯。
實務上的風險與影響
對於工程師來說，Header 編輯器或 Cookie 管理工具通常需要極高的權限才能運作。一旦這類工具被惡意控制，其影響範圍（Blast Radius）極大。
除了潛伏的瀏覽紀錄收集器，研究人員發現該工具在安裝、更新或卸載時，會向另一個域名發送版本與瀏覽器資訊。更嚴重的是，它會將完整的 HTTP Header 紀錄以明文形式儲存在本地磁碟上。如果工程師在測試過程中將 API Key、Bearer Token 或 Session Cookie 等敏感憑證輸入其中，這些機密資訊將面臨洩漏風險。
這類事件背後的商業模式
這符合一種常見的擴充功能獲利模式：一名開發者開發出好用的工具並積累大量用戶，隨後將該工具賣給第三方公司。新買家在不更動功能的前提下，悄悄加入數據收集模組，將原本的工具變成數據管道（Data Pipe）。ModHeader 在 2023 年開始引入廣告，可能就是權限移交或商業模式轉型的信號。
工程實務建議
如果你或你的團隊使用了 ModHeader，請立即採取以下行動：
第一，立即卸載該擴充功能。請檢查瀏覽器設定，確保沒有透過企業管理策略（Managed Policy）或設定檔同步功能將其重新安裝。
第二，輪換所有敏感憑證。如果你曾透過該工具傳送過 API 金鑰、身份驗證 Token 或 Session Cookie，請將其視為已洩漏並立即更換。
第三，針對企業防禦，建議在 DNS 或代理伺服器層級封鎖 stanfordstudies[.]com 與 extensions-hub[.]com 兩個域名，並檢索日誌中是否有對應的 POST 請求。
這次事件給我們的教訓是，不能僅僅依賴商店的審核。對於需要高權限的工具，應盡量減少安裝數量，並對其更新保持警覺。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。