160萬用戶擴展暗藏休眠收集器，谷歌微軟接連下架

Chrome和Edge加起來160萬人在用的ModHeader擴展，最近被谷歌和微軟雙雙拉下架。安全人員在這款正規頭部修改工具的官方商店版本里，翻出了一個從未真正啟動過的瀏覽歷史收集器。它安靜地躺在代碼里，白名單沒填一個字，也不曾對外發送過哪怕一個域名。

但這個收集器把整套管線——設備指紋、硬編碼密鑰、加密、定時上傳、分散上報——提前半年就埋好了，只差一次看不到的靜默更新就能激活。這起事件翻轉了“已簽名且打分很高的擴展等于安全”的慣性認知，也暴露出沙箱、掃描器在碰上休眠惡意代碼時的集體失明。

整個發現過程由英國安全公司Stripe OLT完成。他們對準的是Chrome商店里那個真實、有谷歌簽名的版本，不是仿品。研究人員把代碼跟Web Store的簽名做了比對，確認收集器的每一行都來自官方分發渠道。基于這一版7.0.18展開的分析覆蓋了Chrome端約90萬用戶；第三方追蹤器顯示，Edge那邊還有大約70萬安裝。微軟7月3日動手撤下Edge列表，谷歌一周后的7月10日跟進處理了Chrome端。

擴展本身的功能一點沒缺，版本7.0.18（ID：idgpnmonknjnojddfkpgkljpfnnfcklj）照樣能編輯HTTP頭。只不過這份經過最小化的背景代碼里，悄悄嵌入了第二條軌道。首次運行時，它會構建一個設備指紋，并加載一枚硬編碼的加密密鑰。之后每打開一個頁面，就把當前域名提取出來，加密，存進本地，上限是1000個不重復的域名。

每天的某個時刻，一個調度器會把加密域名列表和指紋打成一個包，發往api.stanfordstudies[.]com，然后擦掉本地副本。上傳時間按安裝實例做了偏移，即便收集器被開啟，所有瀏覽器也不會在同一刻蜂擁上報。獨立拆解分析也給出了相互印證的結論：HackIndex對7.0.18版本的剖析，以及研究員Yunus Aydin對7.0.17版本的分析，都描述了同一條數據管道。

這條管道能不能真正跑起來，完全取決于一張內置白名單，而這張名單出廠時就是空的。每次都會命中檢查失敗的邏輯，因此管道在還沒收集哪怕一個域名之前就自我中斷。但往名單里填上匹配項只是個小改動：不需要新權限，不需要用戶點擊，一次常規的靜默更新就能完成。那枚硬編碼密鑰、上傳地址、調度器、存儲邏輯，全都已經躺在本機磁盤上。

并非所有組件都在休眠。安裝、更新、卸載的瞬間，擴展都會向另一個域名extensions-hub[.]com發出信號，帶上產品名、版本號和瀏覽器信息。此外，還有一個注入每個頁面的腳本，一直在把真實的請求元數據以明文形式寫入本地存儲，說明這部分代碼確確實實是醒著的。

自動化檢測器此前給ModHeader打出的風險評估都低得驚人，有的甚至給出了95分（滿分100）的高度信任。這個收集器的每一處設計，恰好能分別擊中一種不同的檢查盲區：數據經過加密，掃描器看到的只是密文；上傳被邏輯門擋住，沙箱觀察不到任何外泄流量；惡意代碼被壓縮進正常的代碼倉庫；所用域名都沒有建立過惡意信譽記錄；而一個已簽名、高安裝量的流行擴展，天然就被當作可信對象。

商店簽名只能證明文件來自誰，不能證明文件會做什么。這次事件最刺痛人的地方恰恰在這里：一個擁有六位數用戶、在官方商店安然無恙的擴展，其實可以靠一次微量更新，把本地的瀏覽歷史變成遠程數據。而所有可見的防護標簽——簽名、評分、權限提示——都沒能發出警告。

Stripe OLT接著跟蹤了那兩個可疑域名，發現它們都指向真實維護著的基礎設施。stanfordstudies[.]com跟斯坦福大學毫無關系，那是一個改頭換面的舊域名，背后掛的是OpenSearch后端；另一個域名同樣連接著可運行的服務。這意味著管道的遠端一直在處于待命狀態，只是前端的觸發條件還沒被填上而已。

ModHeader的案例給擴展生態敲了一記悶鐘：當惡意行為被拆成加密、門控、分散上報、靜默更新這幾個獨立環節時，任何單一環節的檢測都可能失效。尤其當白名單為空、過去從未產生實際傷害時，連“惡意”本身的定義都會變得模糊。這更像是一個設計完備的休眠套件，至于為何被部署、何時會被喚醒，目前還沒有人能給出答案。

對普通用戶來說，這件事最實際的提醒或許是——高安裝量、高分評價和官方商店的標簽，并不能擔保擴展的每一行代碼都與展示的功能完全相關。那些安安靜靜的輔助工具，可能在不經意間就已備好一套你從未允許過的數據通道。