IT之家 1 月 1 日新闻，科技媒体 bleepingcomputer 昨日（2024 年 12 月 31 日）宣布博文，报道称在最新发明收集垂纶攻打中，攻打者胜利入侵至少 35 个扩大顺序，并注入数据盗取代码，影响约 260 万用户。依据追踪数据，该收集垂纶东西运动最早能够追溯到 2024 年 12 月 5 日，不外垂纶运动所应用的域名跟把持体系能够追溯到 2024 年 3 月。初期讲演会合在收集保险公司 Cyberhaven 的扩大顺序上，不外后续深刻考察，发明在谷歌 Chrome 扩大顺序商城上，至少有 35 款扩大顺序被注入雷同歹意代码，影响大概 260 万人。IT之家扼要先容下该歹意攻打方法，攻打者假装成 Google 官方发送邮件，宣称扩大顺序违背了 Chrome Web Store 政策，须要开辟者点击链接停止处置。邮件域名包含 supportchromestore.com、forextensions.com 跟 chromeforextension.com 等。开辟者点击链接后，会被领导至一个捏造的 Google 登录页面，并被请求受权名为“Privacy Policy Extension”的歹意 OAuth 利用。该利用能够治理 Chrome Web Store 扩大顺序，一旦受权，攻打者就能把持开辟者的账户。获取账户把持权后，攻打者会向扩大顺序注入名为“worker.js”跟“content.js”的歹意文件，这些文件包括盗取 Facebook 账户数据的代码。歹意代码会盗取用户的 Facebook ID、拜访令牌、账户信息、告白账户信息跟贸易账户信息等。别的，还会记载用户的鼠标点击变乱，以绕过 Facebook 的双要素认证跟 CAPTCHA 机制。此次攻打凸显了收集垂纶攻打的隐藏性跟迫害性，即便是保险认识较强的开辟者也可能中招。攻打者应用 OAuth 受权流程的破绽，在不获取用户把柄的情形下盗取数据，值得警戒。对用户来说，应谨严看待来自 Google 的邮件，细心核实邮件起源跟链接，防止受权不明利用。告白申明：文内含有的对外跳转链接（包含不限于超链接、二维码、口令等情势），用于通报更多信息，节俭甄选时光，成果仅供参考，IT之家全部文章均包括本申明。 ]article_adlist--> 申明：新浪网独家稿件，未经受权制止转载。 -->小编：[db:摘要]
当前网址：https://www.shlygy.com//tutorials/web/2025/0102/186.html
