对以加密货币为主题的恶意浏览器扩展程序的特征分析

《Communications of the ACM》：Characterizing Cryptocurrency-Themed Malicious Browser Extensions

研究分析了2020年12月至2022年6月间七个浏览器扩展分发平台中的3600余个加密货币主题扩展，识别出186个恶意扩展，涵盖钓鱼、挖矿、诈骗等五类。发现恶意扩展通过伪造高评分和下载量规避检测，73.1%的恶意扩展存活超一个月，且多利用CPU资源挖矿或窃取钱包信息。研究揭示了恶意扩展的伪装手段、分布特征及资金流向，并开源了检测工具和恶意扩展数据集。

　　近年来，随着加密货币的迅速发展，其在日常生活和商业领域的广泛应用，也引发了网络安全领域的广泛关注。浏览器扩展程序作为现代网络体验的重要组成部分，不仅为用户提供便捷的功能，也成为恶意软件利用的工具。特别是那些以加密货币为主题的恶意扩展程序，因其潜在的高收益性和隐蔽性，已成为网络攻击中的重要目标。本文对加密货币主题的恶意扩展程序进行了系统性的研究，揭示了它们的现状、伪装方式和程序特征，并提出了相应的检测方法。

### 一、加密货币主题恶意扩展程序的现状

加密货币主题的恶意扩展程序已经成为一种普遍存在的威胁。研究团队通过监测七个主要的扩展程序分发平台，持续18个月（2020年12月至2022年6月），收集了大约3,600个独特的扩展程序。在这些扩展程序中，研究团队识别出186个恶意扩展程序，占所有加密货币主题扩展程序的5.17%。这些恶意扩展程序主要分为五个类别：钓鱼（Phishing）、挖矿（Mining）、诈骗（Scam）、广告软件（Adware）和赌博/色情（Gambling/Pornography）。它们的目标涵盖了几乎所有的主流加密货币相关功能，包括价格追踪器、支付功能、挖矿工具、钱包和交易平台。

值得注意的是，尽管这些恶意扩展程序主要出现在官方的扩展程序商店中，但它们的分发并不局限于这些平台。部分恶意扩展程序还出现在非官方的扩展程序分发渠道，如Crx4Chrome、Haoyong和GugeApp等。这些平台由于缺乏严格的审核机制，更容易成为恶意扩展程序的温床。然而，即便是官方商店，恶意扩展程序也能够长期存在，甚至在检测后仍然在平台上活跃。例如，研究发现超过73%的恶意扩展程序在被检测时仍可正常使用超过一个月，其中84.4%的恶意扩展程序能够逃避31个最新的杀毒软件引擎的检测。

此外，恶意扩展程序的伪装手段也十分多样。为了误导用户，恶意开发者常常发布大量虚假的好评，以提升扩展程序的评分。研究发现，有42%的带有负面评论的扩展程序被证实是恶意的，而其中一半的恶意扩展程序会发布大量虚假的正面评价，以掩盖其真实意图。这种行为使得普通用户难以仅凭评分和评论来判断扩展程序的安全性。

### 二、恶意扩展程序的特征与行为分析

恶意扩展程序的行为模式和特征为检测提供了重要的线索。研究团队通过对恶意扩展程序的运行时行为进行分析，发现它们通常具有以下特征：

1. **高频率的敏感权限请求**：恶意扩展程序往往请求大量浏览器级别的权限，例如访问文件系统、获取用户身份信息、控制CPU资源等。这些权限请求通常是恶意行为的标志，例如在运行时消耗大量系统资源，这可能是恶意挖矿行为的证据。

2. **复杂的程序逻辑**：通过分析扩展程序的代码结构，研究团队发现恶意扩展程序倾向于使用特定的函数和变量来实现其恶意逻辑。例如，一些恶意扩展程序会利用特定的代码模式来隐藏其真实意图，或者通过调用系统级API来实现更复杂的操作。

3. **网络通信行为**：恶意扩展程序通常会与恶意服务器进行通信，例如挖矿扩展程序会连接到挖矿池服务器，而钓鱼和诈骗类扩展程序则会与恶意网站进行交互。这种行为可以通过监控扩展程序的网络流量来识别。

4. **伪装为合法服务**：恶意扩展程序常常以合法服务的名义出现，例如模仿知名钱包或交易平台的界面。这种伪装使得用户难以察觉其真实目的，从而增加了受害风险。

5. **持续更新与隐蔽性**：恶意扩展程序通常会频繁更新，以规避检测。此外，它们还可能利用多个域名或地址来隐藏其真实活动，使得追踪和识别变得更加困难。

### 三、恶意扩展程序的金融影响

恶意扩展程序对用户的金融安全构成了严重威胁。研究团队通过追踪恶意扩展程序生命周期内的交易记录，发现有约100万美元的加密货币流入了攻击者控制的地址。这一数字表明，恶意扩展程序已经造成了大量的经济损失。

在具体分析中，研究团队发现，恶意扩展程序的攻击手段多样，包括：

- **钓鱼攻击**：通过伪造钱包或交易平台的界面，诱导用户输入敏感信息，如密码或私钥。例如，一些恶意扩展程序会模拟钱包加载页面，以获取用户的备份短语。

- **挖矿攻击**：恶意扩展程序会利用用户的计算资源进行挖矿活动，导致系统资源的大量消耗。一些挖矿扩展程序甚至能够绕过浏览器的限制，长期存在于官方商店中。

- **诈骗行为**：恶意扩展程序常常以提供“高收益投资”或“免费奖励”为诱饵，诱导用户进行不实交易。例如，一些扩展程序会假装提供购物折扣，但从未兑现承诺。

- **广告软件**：恶意扩展程序会向用户展示大量广告，甚至通过弹窗或重定向的方式干扰用户的正常浏览体验。这些广告往往与非法活动相关，如赌博和色情内容。

- **非法服务**：部分恶意扩展程序直接提供非法服务，如赌博平台或色情网站。用户在点击某些按钮后，会被重定向到这些非法网站，从而面临更大的风险。

### 四、检测方法与防御策略

为了有效识别和防范这些恶意扩展程序，研究团队提出了一种多阶段的检测方法。该方法结合了静态分析、动态分析和行为监控等多种技术，以提高检测的准确性和全面性。

1. **初步过滤**：研究团队首先利用现有的杀毒工具（如VirusTotal）对扩展程序进行初步筛选。然而，由于恶意扩展程序的快速演变，这种方法只能识别有限数量的恶意程序。因此，研究团队引入了其他过滤条件，例如用户评论和下载量。通过分析用户评论，研究团队发现恶意扩展程序往往具有较低的评分和大量的负面评论。此外，下载量较低的扩展程序更有可能是恶意的。

2. **分类检测**：在初步过滤后，研究团队采用分类方法对扩展程序进行进一步检测。他们构建了一个包含33个程序特征的分类器，用于区分恶意和良性扩展程序。这些特征包括权限请求、函数类型、变量类型和浏览器API调用等。通过计算恶意扩展程序和良性扩展程序之间的Odds Ratio，研究团队发现某些特征（如权限请求和函数类型）对检测具有显著的区分能力。

3. **确认恶意扩展程序**：为了减少误报，研究团队引入了确认步骤。他们通过检查扩展程序中是否包含恶意元素（如恶意域名或钱包地址）以及分析其运行时行为（如系统资源消耗和网络通信）来确认其恶意性。例如，通过沙箱测试，研究团队可以观察扩展程序在运行时的行为，以判断其是否具有恶意特征。

4. **行为监控**：研究团队还通过监控扩展程序的运行时行为，如CPU使用率、网络流量和文件系统变化，来识别潜在的恶意活动。这些行为监控手段能够有效检测出恶意挖矿和钓鱼行为。

### 五、防御建议与未来研究方向

基于上述研究，研究团队提出了以下防御建议：

1. **提高用户意识**：用户在安装扩展程序时，应仔细阅读评论和评分，避免被虚假的正面评价误导。此外，用户应关注扩展程序的下载量，避免安装下载量过低的扩展程序。

2. **加强扩展程序商店的审核机制**：现有的扩展程序商店虽然已经采取了一些措施，如禁止挖矿活动，但仍然存在漏洞。因此，扩展程序商店应加强对扩展程序的审核，特别是在涉及加密货币相关功能时，应更加严格地审查其权限请求和行为模式。

3. **开发针对性的检测工具**：由于恶意扩展程序具有高度的伪装性和隐蔽性，传统的通用恶意软件检测方法可能无法有效识别它们。因此，需要开发专门针对加密货币主题恶意扩展程序的检测工具，以提高检测的准确性和效率。

4. **加强数据共享与合作**：研究团队建议扩展程序商店和区块链社区加强合作，共享恶意扩展程序的信息，以便及时采取措施。此外，开发和维护一个公开的恶意扩展程序数据库，有助于提高整个行业的安全性。

### 六、相关研究与未来展望

目前，已有不少关于恶意扩展程序检测的研究，但大多数研究集中在通用恶意软件的检测上，而针对加密货币主题恶意扩展程序的研究相对较少。本文的研究填补了这一空白，首次系统性地分析了加密货币主题恶意扩展程序的现状、特征和影响。

未来的研究可以进一步探索恶意扩展程序的演变趋势，以及如何利用最新的技术手段（如机器学习和大数据分析）来提高检测能力。此外，随着加密货币的不断发展，恶意扩展程序的伪装手段也在不断变化，因此需要持续监测和更新检测方法。

总之，加密货币主题的恶意扩展程序已经成为网络安全领域的一个重要问题。通过系统性的研究和分析，本文揭示了这些恶意程序的特征和行为，为用户和扩展程序商店提供了重要的防御建议。同时，研究团队也发布了相关数据集和开源分析工具，以促进未来的研究和开发。