开发者亲述:个人Chrome插件被黑之后,我的应急过程全记录

longye 新闻 2017年5月31日发布
Favorite收藏

导语:一次误点链接引发的血案。

编者按:Chrome浏览器长期以安全著称,但它也有软肋,就是插件和扩展。Chrome插件和扩展有着极高的权限,但安全主要靠开发者自己把关,Google较少参与。在过去,曾经爆出多次插件/扩展被黑导致Chrome用户信息被劫持的事件。

最近,国人开发的知名插件“Infinity New Tab”因为开发者账号被盗,导致插件被劫持加入了弹窗广告,reddit、知乎上均有用户反馈。插件开发者发现后紧急处理解决了问题。他们分析了黑客添加的代码,比较庆幸这次只有弹窗广告,没有窃取信息或推送病毒。以下为“Infinity New Tab”开发者gh guang放出的事件处理经过,其中有许多可供参考的关键点信息,嘶吼加粗显示。

首先跟infinitynewtab的用户说声对不起,由于我们太愚蠢,导致账户被盗,给大家的使用带来不便了。黑客主要在代码中加入了弹窗广告,除此之外没有任何的影响,没有盗号,没有病毒。

好了,下面我们来说说这次事件的经过:

5月29号已经更新到6.0的版本,可以放心使用,如果版本低于6.0,赶紧更新到6.0的版本

下面就来说说这次事件的经过。

5月26号(星期五晚上)

gmail 邮箱突然收到一封邮件,大概看了一下,说是infinitynewtab被chrome 商店删除了,一看到这个邮件心里面就着急了啊。看到邮件中有个链接,说是查看被删的原因,就是违反了Google隐私政策的原因。当时太着急了,太着急了,太着急了,导致于做出了如此愚蠢的行为,一路点过去,输入账号跟密码。结果。。。账户就被盗了。但是,当天晚上并没有发现不对,而是心里在想,为啥被Google 商店移除了。违法了那条政策。去看Google商店也没被删除,心里当时想着,难道有延迟吗,就想着第二天好好研究下Google隐私政策。遂睡。邮件截图:

v2-263de8d7b333c613f0c801abe4f9930c_b.png

5月27号早上9点(星期六)

大早上,一起来,登陆开发者账号,进入后台页面,一看版本号怎么变成3.12.22了,本来3点几是作为目前正在开发的新版的版本号,突然感觉不对劲,再回到邮件仔细怎么是chromewebstore.pro这个域名 ,再把这次3.12.22的版本下载下来看,里面怎么多了一个alert10.js的文件,卧槽,这下可惨了。确定账户被盗无疑了。于是赶紧把密码改了。然后在进去后台,发现黑客又在发布3.12.5的版本,赶紧点了取消发布。这已取消发布,就显示正在等待Google审核。如图:

v2-0f05371d2e98b53b85f6a6e5d9c55c10_b.png

取消发布后,发现肯定是黑客发现了infinitynewtab@gmail.com 这个邮件和开发者账户绑定到一起,于是把后台的邮件改成infinity@infinitynewtab.com了,防止别人再来给我们发钓鱼邮件,当然经过这次事件后,以后开发这账户要单独用一个,保证安全

回过头来,再看看这个alert10.js文件。(这是alert10.js的源码

v2-32ec960689301205f67d419fefa320b2_b.png

v2-203f30defc0e913061beee2f3faa5e9b_b.png

分析一下这个alert10.js,生成了一个年月的md5值,而且每隔一个小时就会弹窗一次,弹窗的内容就是如图:

v2-790f5444f8c0f55a7ff938cf14983d8d_b.png

点击确定就会跳到md5生成的这个链接,再去查这个链接

v2-424b95ce4b34d3669396c38c53484e97_b.png

发现这个域名是从namecheap购买的。于是乎赶紧联系namecheap的客服,说明情况后,namecheap把这个域名给封了

5月27号11点

赶紧联系Google的人,找邮件,发邮件。

v2-b90c2c5beada51903004ef6907ab5e60_b.png

v2-f150d2e1383772a64b7e1b80d4d99493_b.png

邮件发出去了,却没有任何音讯。今天tmd 周六,Google不上班。

于是乎,给用户发通知,和找Google的联系方式。

临时做了一个简陋的告知信息页面关于黑客入侵),让用户卸载3.12.22的版本,从官网下载2.xx的离线版本。(可能有很多用户没收到通知,再给大家道歉)

另一方面,找Google的工作人员,最后在知乎上找到了Google的工作人员,愿意帮我们发内部邮件。自己写了一封英文邮件,他帮忙转发。

v2-5220d0fb617762a50bb0c91f614731be_b.png

在此感谢知乎这个平台。感谢帮助的人。然后进入等待中。。。。。

5月29号下午(星期一)

不断刷新后台看Google的审核状态。Google审核通过了,是把之前黑客发布的3.12.25的版本通过了,赶紧把准备的正常版本6.0,发布上去,用6.0的版本替换3.12.25的版本,这里再说明下,很多用户可能又从2.xx的版本或者3.12.22的版本升级到了3.12.25的版本,导致很多用户产生了误解,说升级后还有弹窗,因为3.12.25的版本也是黑客发布的。如果你还是3.12.22或者3.12.25的版本,请及时更新到6.0的版本。

到此事件告一段落,再次给大家说声抱歉了,由于我们的大意,给大家的使用带来不便了。

另外,大家以后上网也要保护好自己账户的安全,现在钓鱼邮件太多,陌生人发的邮件链接,千万不要随便点,陌生人发的邮件链接,千万不要随便点,陌生人发的邮件链接,千万不要随便点。

最后再次感谢大家对infinitynewtab的支持。

最后插件一定要从官网或者从Chrome商店下载。切勿从其它渠道下载。

本文为作者授权嘶吼发布,未经作者授权不得转发。如若转载,请注明原文地址: http://www.4hou.com/info/news/5105.html
点赞 0
  • 分享至
取消

感谢您的支持,我会继续努力的!

扫码支持

打开微信扫一扫后点击右上角即可分享哟

发表评论

    沙拉拉卡 2017-06-01 16:13

    挺不容易的…

    高坂穗乃果 2017-05-31 18:24

    这…要是我,我也脑回路跟不上,不过现在好多了…知道不能随便输入帐号密码了…