- 已識別出 319 個 Chrome 擴充程序，安裝量約 13,4 萬次。
- 它們會更改預設搜尋引擎，並將查詢路由到中間伺服器。
- 目前的業務依賴雅虎和必應的搜尋結果，但這可能會導致網路釣魚或惡意軟體。
- 檢查擴充功能、權限和搜尋引擎是主要的保護措施。
惡意Chrome擴充功能的威脅再次成為新聞焦點，一項分析揭露了319款此類外掛程式。這些插件在全球多個國家累積安裝量約為13,4萬次，這一數字凸顯了問題的嚴重性。雖然數據來自全球，但這項警告同樣適用於西班牙和歐洲其他地區的用戶：任何人都有可能在不知情的情況下遇到這些工具。
這種攻擊模式並非花俏的攻擊，而是更隱晦：篡改預設搜尋引擎，並將搜尋查詢路由到第三方控制的伺服器。這樣一來，管理基礎架構的人就能觀察使用者的搜尋內容，將其與特定識別碼關聯起來，並決定顯示哪些搜尋結果。其直接目標是經濟利益，但這種設計也為更危險的用途留下了空間。
一個影響數百萬用戶的隱形問題
本次審查是2025年4月一份分析報告的擴展，該報告記錄了57個插件，約有600萬用戶。如今，又新增了264個擴充程序，影響了另外870萬用戶，使得受影響的插件總數達到前述的319個，安裝量達到1340萬。這些數字的差異解釋了為什麼該問題會從最初的孤立警報演變為相當大的問題。
許多這類工具都以看似合理的名稱和功能示人：安全網頁搜尋、PDF手冊查找器、文件轉換器、手動搜尋引擎、安全搜尋工具或人工智慧助理。問題在於，它們的實際功能通常僅限於攔截搜尋查詢並將其重定向。看似有用的工具只是誘餌，尤其對於那些尋求快速解決方案卻不去檢查瀏覽器設定變化的用戶而言更是如此。
如何在不留下痕跡的情況下更改搜尋引擎
技術機制比看起來簡單。其中一些擴充功能利用`chrome_settings_overrides`設置，直接從清單檔案中更改預設搜尋引擎。在分析的某些案例中，無需任何後台腳本、內容腳本或額外的權限：只需清單文件和幾個圖標，即可實現幾乎不被察覺的更改。
安裝插件後，每次搜尋都會先發送到運營商的伺服器，然後再轉發到雅虎或必應。這個中間伺服器充當可疑代理，可以記錄搜尋查詢，將其與一個唯一標識符關聯，並選擇最終目的地。無需更新擴充功能即可改變其行為：代理伺服器會隨時決定傳回什麼結果。
目前進行的測試表明，許多搜尋查詢最終都會出現在雅虎和必應的合法搜尋結果中，但這種看似正常的現象並不能消除風險。不法分子可以利用搜尋字串或地理位置資訊來顯示虛假結果、釣魚頁面或惡意下載。在一個已記錄的案例中，一個名為「Predator Search」的擴充功能導致六次相同的搜尋最終指向四個不同的目標頁面，其中包括中間網域和一個錯誤頁面。
從付費推薦到網路釣魚的風險
眼下最直接的商機在於搜尋推薦。透過將搜尋查詢先路由到自己的伺服器，然後再到達雅虎或必應，相關方可以插入合作夥伴標識符，並在搜尋聯合推廣計劃中對重定向流量收費。這既是一筆利潤豐厚的收入來源，同時也是一種在系統看似無害地運作的同時累積使用者資料的方法。
這種設計也允許在必要時進行進一步的自訂。代理運營商可以等到收集到足夠的數據或識別出目標後，再將用戶重定向到惡意結果、欺詐性落地頁或其他下載連結。擴充功能無需一開始就整合此功能：重定向可以稍後實現，用戶不會在插件商店中察覺到任何異常。
這條警告與「安裝擴充功能並非無害」的觀點相符。即使插件看似僅限於特定任務，它也可能存取敏感的瀏覽器功能並修改使用者不常用的設定。因此，如果某個工具的用途不明，或承諾更改搜尋結果卻未明確解釋原因，那麼謹慎對待它是明智之舉。
未公開的擴充功能和低信譽的廣告
許多這類工具並未出現在 Chrome 線上應用程式商店的內部搜尋結果中。它們被列為「未上架」工具，因此只能透過直接連結訪問，而且通常透過 Google Ads、Bidbrain 或其他廣告網路投放付費廣告進行推廣。這種缺乏透明度的做法在一定程度上解釋了為什麼該推廣活動能夠在不引起太多關注的情況下發展壯大。
這些軟體的名稱聽起來很合理，廣告也將其宣傳為實用的解決方案。安裝這些軟體的使用者往往認為它們可以解決某個特定問題，例如轉換文件、尋找手冊或啟用安全搜尋模式。他們很少會在安裝後檢查瀏覽器中預設搜尋引擎被設定為哪個。這正是欺騙的根源所在。
在本文發布之時，文中提到的許多擴充功能已經從應用程式商店下架。然而，開發者往往會迅速發布新的變種、域名和誘餌。這意味著刪除某個特定的插件並不能從根本上解決問題；定期監控瀏覽器比一次性清理更為有效。
兩大重點和持續的回收能力
這場行銷活動並非依賴單一組織，而是由多個共享廣告基礎設施並不斷變換偽裝的組織共同發起。其中最活躍的組織之一是 Bing-Search，擁有37 個擴充功能和 2,2 萬用戶，主要透過 Bidbrain 廣告進行推廣。另一個活躍的組織是 SecuryBrowse，擁有 58 個擴充功能和 4,9 萬用戶，它模仿安全工具，使用諸如 Fire Shield、Securify 和 WatchTower 等名稱。
它們加起來共有 95 個插件和 7,1 萬用戶，佔整個調查中檢測到的所有安裝量的一半以上。模式反覆出現：用戶以為自己安裝的是某個特定的實用程序，但實際上插件會篡改搜尋引擎，並透過外部基礎設施發送查詢。未公開的擴充功能和低信譽的廣告宣傳，很大程度上解釋了為什麼它們能夠在不引起太多關注的情況下迅速發展壯大。
這種類型的搜尋劫持已經潛伏在潛在有害程式和惡意軟體之間的灰色地帶多年。這種自我循環利用的能力意味著風險並不會隨著特定清單的關閉而消失：當先前的攻擊工具被清除後，攻擊者可以以新的名稱和網域重新出現。
如果您懷疑 Chrome 瀏覽器已被竄改，應該檢查哪些內容？
第一步是檢查您的 Chrome 擴充功能列表，並刪除任何未知或用途不明的插件。接下來，檢查瀏覽器設定中的預設搜尋引擎，如果設定為無法識別的搜尋引擎，請將其恢復。此外，最好執行一次完整的防毒軟體掃描，以排除任何額外添加的病毒組件。
若要手動卸載擴充功能，請開啟三點選單，依序選擇“更多工具”、“擴充功能”，找到該插件，然後點擊“移除”。卸載後最好再次檢查搜尋功能。此外，為了安全起見，最好避免安裝來自未知開發者的不必要的插件，尤其是一些承諾提供搜尋增強功能或特性，但其請求的權限卻不足以支撐這些功能的使用者。
在將工具新增至瀏覽器之前，請務必考慮其評分、評論和使用者數量。需要修改搜尋引擎或存取瀏覽資訊的擴充功能應清楚說明其需要這些權限的原因。如果沒有合理的理由，謹慎行事才是明智之舉。保持 Chrome 瀏覽器更新並使用安全軟體有助於降低惡意下載和活動的風險。
切實可行的解決方案並非完全放棄擴充程序，而是減少選擇數量並更加謹慎。在管理 Chrome 擴充功能以優化瀏覽器時，請檢查哪些外掛程式擁有搜尋權限，檢查預設搜尋引擎，並移除任何無法辨識的插件。這可以降低您暴露於一個擁有數百萬安裝量的網路的風險。官方商店並不能保證質量，如果某個工具只是攔截搜尋查詢或來自可疑的廣告，最好避免使用。
