标准的浏览器扩展是一个小型的信任包。用户安装广告拦截器和 VPN 时，期望这些工具是为他们服务，而不是针对他们。微软最近拆除了一项颠覆了这种关系的庞大行动。该活动被称为 StegoAd，涉及 Microsoft Edge 加载项商店中的 119 个恶意扩展。这些扩展活跃了多年，累计安装用户量达到 260 万。这次行动是规避技术的集大成者，利用隐写术将恶意负载隐藏在那些让网页看起来和感觉起来都正常的各种文件中。
从风险角度来看，暴露的规模是巨大的。虽然微软指出 2.6 亿是上限而非确定的受害者人数，但 StegoAd 的架构复杂性表明其具有专业级的策划水平。这些扩展确实履行了它们的承诺：拦截广告、翻译文本和下载视频，并因此获得了好评。然而，在幕后，它们在等待一组特定的条件来触发次要的恶意生命周期。这是一场耐心的攻击，旨在绕过把守现代浏览器生态系统的自动扫描器。
慢热型感染的架构
追溯攻击链可以发现一种有条不紊的休眠方法。StegoAd 的攻击者明白，立即的恶意活动对于浏览器扩展来说无异于死刑。这 119 个扩展中的大多数在安装后的几天内都保持良性状态。这种延迟是常见策略，但该攻击者做得更绝。他们实施了一叠规避检查，以确保扩展仅在真实用户的机器上唤醒。
其中一项检查是寻找浏览器开发者工具（DevTools）的存在。如果分析师打开检查器查看扩展在做什么，代码就会察觉到变化并延长其休眠期。这有效地向任何寻找它的人隐藏了行为。主动地讲，攻击者还在某些变体中使用了 10% 的执行门控。这意味着每十个安装中只有一个实际触发负载。对于试图重现报告错误的漏洞安全研究员来说，恶意软件根本不会出现。
这种选择性执行将用户群变成了一个庞大的、去中心化的测试平台。攻击者可以在一小部分用户身上完善他们的脚本和外泄方法，而其他 90% 的用户则提供了合法活动和高评分的盾牌。随着 Chromium 平台的演进，这些扩展甚至从 Manifest V2 迁移到了 Manifest V3。这显示了维持对 Edge 用户群访问权的长期承诺。
隐写术如何将图标变为武器
该活动的核心是隐写术，即在其他数据中隐藏数据的做法。攻击者使用图像和字体文件作为其 JavaScript 负载的载体。在 StegoAd 的早期版本中，恶意软件被附加在 PNG 图标的 IEND 标记之后。这个标记告诉图像查看器文件已结束。渲染器会忽略该标记之后的任何内容，但脚本仍可访问。对于静态扫描器来说，该文件看起来像是一个有效的、无害的图标。
随着检测工具的改进，威胁攻击者也随之进化。他们将负载转移到 WebP 图像和 WOFF2 字体文件中。WOFF2 文件是包含字形范围和元数据的压缩 Web 字体。攻击者在这些范围内隐藏代码，使负载看起来像亚洲文字或字体度量。微软称，在浏览器扩展领域，这种规模的隐写术非常罕见。这是一种高投入的技术，要求攻击者手动制作或修改媒体文件，以确保它们在携带加密“偷渡者”的同时仍能正常工作。
在一些高影响力的变体中，负载甚至不存在于本地扩展文件中。扩展从命令与控制（C2）服务器获取一个看起来正常的图像。下载后，扩展通过多层大小写转换、数字交换、Base64 编码和 XOR 操作对图像进行解码。然后，它在执行前根据数字签名验证生成的脚本。这一过程确保了恶意逻辑永远不会以可读格式存储在磁盘上。
保护命令与控制基础设施
StegoAd 的后端基础设施与前端扩展一样具有弹性。攻击者使用了十多个具有自动故障转移能力的命令与控制域名。如果一个域名被封锁或关停，扩展会自动联系备份。为了进一步隐藏流量，运营商通过 Cloudflare Workers 代理了他们的请求。这使得恶意流量看起来像是发往信誉良好的云服务商的合法 API 调用。
服务器端验证在每扇门前都充当着 VIP 俱乐部的保镖。当扩展请求负载时，服务器会检查浏览器的指纹和 User-Agent 字符串。如果请求来自已知的研究环境或自动化沙箱，服务器会返回一个空的诱饵响应。我曾在高级持续性威胁（APT）攻击者中见过这种程度的偏执，但在广告软件活动中并不常见。这表明运营商非常有动力保护其工具包不被发现。
GitHub Pages 是攻击者工具箱中的另一个工具。他们利用该平台托管信标，为扩展检查更新提供可靠且受信任的域名。通过滥用合法基础设施，StegoAd 运营商确保其流量混入典型企业或家庭网络的背景噪音中。检测这种流量不仅需要一份恶意 IP 列表，还需要对扩展如何与网络交互进行行为分析。
广告欺诈作为数据外泄的烟幕弹
StegoAd 感染中最明显的部分是广告欺诈。这些扩展在网页中注入广告，劫持亚马逊（Amazon）和 eBay 等网站的联盟佣金，并重定向搜索查询。这是恶意软件喧闹的部分，旨在产生即时收入。然而，微软进行的详细技术分析揭示了隐藏在表面下的更黑暗的能力。
检索到的负载显示，攻击者具有远程代码执行（RCE）能力。他们可以从服务器向任何受感染的浏览器推送任意 JavaScript。这使他们能够在登录过程中窃取 Google 凭据和二次验证码。他们还针对 WordPress 管理员登录并批量外泄 Cookie。从架构角度来看，如果会话 Cookie 落入坏人手中，它就是一种有毒资产。拥有新鲜会话 Cookie 的攻击者可以完全绕过多因素身份验证（MFA），直接进入用户的账户。
该活动的遥测数据通过七个 Google Analytics 跟踪 ID 进行管理。这让运营商能够利用 Google 自己的分析基础设施实时掌握进度。他们可以看到哪些扩展表现良好，哪些国家的活跃安装量最多，以及他们的负载在哪里成功触发。这里的运营情报水平是专业级的，表明了一种精简的业务模式。
中国关联与 DarkSpectre
微软尚未正式命名 StegoAd 背后的攻击者，但技术指标指向了一个已知的活动集群。凭据窃取负载将数据外泄到一个名为 mitarchive.info 的域名。安全研究人员此前曾将该域名与一个名为 DarkSpectre 的中国行动联系起来。该组织还与 ShadyPanda 和 GhostPoster 活动有关，后者使用了类似的策略来分发恶意扩展。
重叠之处不仅仅是一个域名。StegoAd 使用了与几个月前 GhostPoster 完全相同的方法，将代码隐藏在扩展自身的图标中。他们甚至使用了相同的扩展命名惯例，例如 Ads Block Ultimate。这表明 StegoAd 是一个长期运行的中国行动的最新演变，该行动将浏览器扩展生态系统视为主要作战领域。运营商非常敏捷，随着防御者的追赶，从一个平台转移到另一个平台。
评估攻击面并采取行动
微软已删除了所有 119 个扩展并暂停了开发者账户，但对于仍安装了这些工具的用户来说，危险依然存在。由于其中一些扩展功能非常完善，用户甚至可能没有意识到自己已被入侵。如果你使用 Edge，第一步是访问 edge://extensions 并审计你的列表。将你安装的 ID 与微软技术报告中提供的列表进行对比。
如果匹配，则浏览器环境已遭破坏。删除扩展只是第一步。你必须假设你的会话 Cookie 和凭据已掌握在 DarkSpectre 组织手中。更改高价值账户的密码，包括 Google、银行以及任何与工作相关的门户网站（如 WordPress）。检查你最近的登录活动，查看是否有无法识别的地点或设备。
审视威胁格局，这一事件凸显了传统扩展审核的失败。静态分析已不足以抓捕使用隐写术和服务器端验证的攻击者。主动地讲，最好的防御是精简浏览器。仅安装绝对必要且来自经过验证、信誉良好的开发者的扩展。尽可能使用硬件安全密钥进行 MFA。与短信代码或推送通知不同，硬件密钥需要物理交互，这是基于扩展的脚本无法轻易复制的。
浏览器安全关键要点
- 审计你的扩展：定期检查 edge://extensions 或 chrome://extensions，并删除任何你不使用的内容。
- 警惕延迟：对安装几天后突然改变行为或请求新权限的扩展保持警惕。
- 验证开发者：恶意攻击者经常使用通用名称或模仿流行工具。检查开发者的历史记录和网站。
- 使用硬件 MFA：物理安全密钥是抵御 StegoAd 中出现的凭据和会话窃取的最具弹性的防御手段。
- 监控登录：检查你主要账户的安全仪表板，查看是否存在不应存在的会话。
资料来源：Microsoft Security Blog, NIST SP 800-53 (Control Assessment), MITRE ATT&CK (T1027.003 - Steganography), Koi Security Research Reports.
免责声明：本文仅用于信息和教育目的，不能替代专业的网络安全审计或事件响应服务。
