如何检测和移除 Chrome 浏览器中的恶意扩展程序

信息技术数字 » 资源 » 如何检测和移除 Chrome 浏览器中的恶意扩展程序

Chrome 扩展程序非常方便，可以用来截屏、屏蔽广告、翻译网页或增强 YouTube 体验，但它们也成了网络犯罪分子潜入我们设备、窃取数据或用侵入式广告轰炸我们浏览器的常用手段。即使它们是从 Chrome 网上应用店安装的，也不意味着它们总是安全的，或者谷歌能够及时检测到它们。

如果您正在寻找检测 Chrome 浏览器中恶意扩展程序的方法，以及当看似无害的工具开始出现异常行为时该如何应对，那么这篇指南将为您提供全面的信息。您将了解 Google 的保护机制是如何运作的，哪些警告信号会引起您的警觉，下载量达数百万的危险扩展程序的真实案例，以及扫描、清理和保护浏览器的具体步骤。

为什么Chrome扩展程序可能很危险

浏览器扩展程序是运行在浏览器中的小型程序，需要获得访问页面、数据和某些系统功能的权限。问题的关键就在于此：授予这些权限，如果开发者不可信，或者扩展程序随着时间的推移被修改，就可能为恶意行为打开方便之门。

许多浏览器扩展程序会请求读取和修改您访问的每个网站上的数据。这意味着它们可以看到您在表单中输入的内容、监控您的浏览历史记录、更改页面内容，甚至注入它们自己的代码。这对于广告拦截器或翻译器等合法功能来说非常理想，但对于任何想要监视您或操纵您在线浏览内容的人来说，也同样是绝佳的机会。

另一个重大风险是自动更新系统。某个扩展程序起初可能完全无害，但更新后，它可能会在您不知情的情况下开始包含恶意代码。它甚至可能稍后再次自动更新并“清理”自身，以逃避安全工具的检测。

还有一些情况下，开发者会将扩展程序出售给其他公司或团体，后者在接管后会添加新功能，例如投放广告、收集浏览数据用于商业用途，或者直接安装恶意软件。最终用户对此所有权变更毫不知情。

杀毒软件很难检测到这类威胁，因为扩展程序在安装时可能并不包含任何危险内容，而是在之后才开始从远程服务器下载或激活恶意代码。因此，仅仅拥有一个好的杀毒软件是不够的：你还需要谨慎选择安装的浏览器插件。

谷歌浏览器如何抵御危险网站和扩展程序

Chrome浏览器默认包含谷歌的安全浏览系统，该系统会维护一份最新的可疑网站列表，这些网站可能包含网络钓鱼、恶意软件、不需要的软件、社交工程攻击、恶意广告，甚至一些有害的扩展程序。当您尝试访问危险页面时，您会看到一个带有红色屏幕和“危险网站”字样的警告信息。

如果您在浏览网页时收到此警告，最好不要继续。该页面可能试图窃取您的凭据、安装恶意软件，或通过“您的计算机已感染病毒，请下载此程序”之类的消息欺骗您。Chrome 浏览器对某些被认为不安全的文件也存在同样的情况：浏览器可能会阻止下载并显示警告消息。

除了标准保护之外，Chrome 还提供“增强型安全浏览”选项，该选项提供更频繁的实时检查。在“设置”>“隐私和安全”>“安全”中启用此选项后，Chrome 可以更彻底地扫描网站、下载内容和部分扩展程序，从而提高检测新威胁的能力。

不建议禁用安全浏览。虽然可以在安全设置中禁用它，但谷歌明确指出不建议选择“无保护”选项。如果您使用的是工作或学校的电脑，管理员可能已经设置了此保护措施并阻止您更改，正是为了避免风险。

在某些情况下，当 Chrome 怀疑某个网址可能冒充您经常访问的合法网址时，还会显示“您是不是要找？”之类的提示信息。如果某个页面与您熟悉的某个服务或浏览历史记录中的某个地址过于相似，浏览器可能会警告您可能正在访问一个虚假网站。

可能表明您感染了恶意软件或恶意扩展程序的迹象

除了 Chrome 浏览器的警告之外，还需注意一些可疑症状，这些症状可能表明您的设备上存在恶意软件或危险的浏览器扩展程序。这些迹象可能出现在系统层面，也可能出现在 Chrome 浏览器本身。

您的设备可能会出现一些奇怪的病毒警报，这些警报并非来自您的杀毒软件；还可能出现持续不断的弹出消息，或者电脑运行速度明显变慢。此外，存储空间突然减少或电脑无故死机也是常见现象。

在浏览器中，这些症状更加明显：弹出窗口数量异常增加、新标签页自动打开、出现未知工具栏、出现你不记得安装的扩展程序，或者主页和默认搜索引擎在你未进行任何操作的情况下不断更改。

另一个警示信号是感觉自己失去了对浏览行为的控制。例如，你输入一个熟悉的网址，Chrome 浏览器却把你带到一个充斥着广告或可疑内容的页面；或者你访问一个合法的搜索引擎，却发现搜索结果中存在奇怪的链接、恶意重定向或非常侵入性的广告，而其他用户却看不到这些内容。

如果您的联系人开始收到您未发送的电子邮件或消息，您也应该提高警惕。这可能是浏览器扩展程序或恶意软件窃取了您的凭据或滥用了您打开的浏览器会话。

真实案例：下载量达数百万次的恶意扩展程序

近年来， Chrome网上应用商店中发现了数十款恶意扩展程序，下载量惊人。其中一项著名的调查显示，一款名为PDF Toolbox的看似无害的PDF文件处理扩展程序，积累了约两百万用户和好评，但实际上却包含隐藏代码，可以从外部域名加载任意脚本。

通过分析该扩展程序的通信记录，我们发现它会连接到一个远程服务器（例如 serasearchtopcom），并能从该服务器向用户浏览的所有页面注入代码。由此线索，我们找到了数十个连接到同一服务器且行为类似的扩展程序。

发现 PDF Toolbox 的研究人员扩大了搜索范围，最终找到了 34 个功能各异的扩展程序（广告拦截器、阅读器、YouTube 工具、VPN 等），但它们都具有相同的恶意行为模式。这些扩展程序的总下载量约为 8700 万次。其中最受欢迎的 YouTube 自动跳过插件的安装量就超过 900 万次。

这些扩展程序已经在官方应用商店上架数月，有些甚至从 2021 年和 2022 年就开始了。尽管用户评论警告称存在异常行为（例如搜索结果链接被广告软件替换），但谷歌并未立即采取行动。直到几位专家发表了详细的分析报告后，谷歌才决定将它们从 Chrome 网上应用商店下架。

另一个问题是，即使你从应用商店移除它们，扩展程序也不会自动从已安装它们的浏览器中消失。换句话说，如果你不手动访问 chrome://extensions 并移除它们，它们可能会继续运行，而你却浑然不知。

该列表中特别提到了一些问题严重的扩展程序，其中包括：YouTube 自动跳过、Soundboost、Crystal Adblock、Brisk VPN、剪贴板助手、Maxi Refresher、快速翻译、Easyview 阅读器视图、PDF 工具箱、Epsilon 广告拦截器、Craft Cursors、Alfablocker 广告拦截器、Zoom Plus、Base Image Downloader、Clickish 趣味光标、Cursor-A 自定义光标、Amazing Dark Mode、YouTube 最大颜色更改器、Awesome Auto Refresh、Venus Adblock、Adblock Dragon、Readl 阅读器模式、Volume Frenzy、图像下载中心、字体自定义器、Easy Undo 关闭标签页、Screence 屏幕录像机、OneCleaner、重复按钮、Leap 视频下载器、Tap Image Downloader、Qspeed 视频速度控制器、HyperVolume 和 Light 画中画。

案例研究：从在线电影网站分发的扩展程序

另一种常见情况是，一些在线电影和流媒体网站滥用侵入式广告。其中一些网站使用脚本，当用户点击特定区域（例如视频播放器）时，会触发一系列重定向，最终导致恶意Chrome扩展程序的安装。

在分析的广告系列中，我们发现这些网站通过 SmartAdTags 等广告轮播服务加载外部脚本。根据当前投放的广告系列，用户可能会看到一个虚假的“接受 | 取消”提示信息，并伴有西班牙语语音，敦促用户“安装扩展程序以关闭此网站”，其中包含指向 Chrome 网上应用商店的直接链接。

以这种方式分发的扩展程序可以遵循两种策略。有些是合法的扩展程序，但经过修改后在 JavaScript 文件中加入了恶意代码（例如，注入并混淆了函数的 jQuery）。另一些则是完全出于恶意目的而创建的，这使得它们更容易分析，但也同样危险。

安装后，这些扩展程序通常会操纵网络流量：它们会在您访问的每个页面上加载远程脚本，插入包含第三方内容的 iframe，并打开弹出窗口或新标签页，其中充斥着广告。在某些情况下，它们甚至会阻止您管理自己的扩展程序，当您尝试访问 chrome://extensions/ 时，它们会将您重定向到其他页面。

在这些攻击活动中分析的扩展程序包括 Cursor-Bubble、Kaplivnos、JumperGame、ogleen、Meta-crawExtension、Kabelshuk、Tyagelosik、Share on Rabbit 和 iklear 等，它们都带有签名的 .crx 文件和已知的哈希值。虽然其中许多扩展程序已不再可用，但这很好地说明了在流媒体网站上点击一下就可能导致浏览器安装危险扩展程序。

如何在安装前判断扩展程序是否可能存在恶意行为

首先应该筛选的是开发者。安装扩展程序之前，务必查看其创建者，例如他们是否拥有官方网站、GitHub 个人资料或其他知名项目。来自知名公司或成熟开发者的工具通常比来自无名作者且没有任何参考资料的工具更可靠。

另一个关键点是仔细阅读Chrome网上应用商店中的扩展程序页面：注意描述的质量，是否存在明显的拼写错误、复制粘贴的通用文本、与插件功能无关的图片，或者关于公司或支持的信息非常匮乏。所有这些都应该引起警惕。

评论和用户数量也能提供一些线索。通常来说，安装量高但评价褒贬不一的扩展程序比下载量少但评分高得离谱或非常新的扩展程序更可靠。阅读负面评论也很有帮助，用户经常会在评论中反映一些奇怪的变化、意外的广告或侵入性行为。

但最重要的因素是扩展程序请求的权限。安装前，Chrome 会显示访问请求摘要。例如，如果一个原本只想更改光标颜色的扩展程序请求读取和修改您在所有网站上的所有数据、访问您的完整浏览历史记录或与外部应用程序通信，最好拒绝它，并寻找更尊重您隐私的替代方案。

如果扩展程序已安装，您可以通过 Chrome 菜单中的“更多工具”>“扩展程序”>“详细信息”来查看其详细权限。您可以在这里看到它访问浏览器的哪些部分、是否可以在隐身模式下运行、允许在哪些网站上运行以及是否启用了后台运行。

如何使用 Chrome 的新功能来检测被恶意软件移除的扩展程序

谷歌新增了一项功能，会在您安装的扩展程序从 Chrome 网上应用店下架时通知您。通常情况下，谷歌下架某个扩展程序是因为它发现该扩展程序违反了其政策、包含恶意软件或存在其他有害行为。

此工具已集成到Chrome 设置中“隐私和安全”部分的“安全检查”功能中。点击“检查”按钮，即可扫描您已安装的扩展程序，并显示哪些扩展程序已从应用商店移除，并在可用时显示移除原因。

该功能不会自动移除标记的扩展程序，但会发出非常明确的警告，建议您尽快卸载它们。如果您希望自行承担风险保留某些扩展程序，Chrome 通常会提供保留选项，但只有在您有非常充分的理由信任它们的情况下才应这样做。

虽然最初计划在 Chrome 117 等较新版本中推出，但用户也可以通过实验性标志在更早的版本中启用此功能。不过，对于大多数用户来说，最好还是等待稳定版本发布，然后直接从设置菜单中使用此功能。

如何在 Chrome 浏览器中移除恶意扩展程序（包括可见和隐藏的）

移除可疑的扩展程序非常简单。打开 Chrome 浏览器，点击右上角的三个点，选择“更多工具”，然后选择“扩展程序”。此时会显示所有已安装的扩展程序列表，包括已启用和已禁用的。

要卸载可见的扩展程序，请在列表中找到它，然后点击“移除”。Chrome 会要求您确认；确认后，该扩展程序将被彻底移除。如果您只想暂时禁用它，可以使用每个名称旁边的开关：将其变为灰色将停止该扩展程序运行，但它仍会保留在浏览器中，以便您以后重新启用它。

问题通常出现在隐藏的扩展程序或未显示在扩展程序菜单中的扩展程序上，这通常是浏览器劫持程序和一些恶意插件的典型特征。遇到这种情况，您需要进入 Chrome 存储用户数据的内部文件夹，手动删除这些有问题的扩展程序的目录。

在 Windows 系统中，关闭 Chrome 浏览器后，打开文件资源管理器，导航到 Chrome 配置文件路径（例如，C:\Documents and Settings\用户名\Local Settings\Application Data\Google\Chrome\User Data\Default），然后进入 Extensions 文件夹。您会看到许多子文件夹，其名称由一串字母组成。

每个子文件夹对应一个已安装的扩展程序。要确定哪个子文件夹对应哪个扩展程序，请打开每个子文件夹内的 version 文件夹，找到 manifest.json 文件。用文本编辑器打开该文件，您会看到 short_name 或 name 字段，它通常表示扩展程序的名称。如果您发现恶意扩展程序，请返回主 Extensions 文件夹，并将其子文件夹完全删除。

在 macOS 上，操作步骤类似，但路径有所不同。打开 Finder，使用快捷键 Command + Shift + G，粘贴路径 ~/Library/Application Support/Google/Chrome/Default/Extensions，然后按 Enter 键。接下来，重复上述步骤：打开名为“letter”的文件夹，进入“version”子文件夹，检查 manifest.json 文件，并删除所有与潜在危险扩展程序对应的条目。

在 Windows 或 Mac 系统上删除可疑文件夹后，重新打开 Chrome 浏览器并再次检查扩展程序页面。之后，最好使用更新后的杀毒软件进行扫描。如果浏览器仍然运行异常，请考虑重置其设置。

如何逐步清除恶意软件并重置 Chrome 浏览器

如果您怀疑问题不仅仅是简单的浏览器扩展程序，而是您的计算机上可能存在恶意软件，那么第一步是使用可靠的安全解决方案进行全面扫描。Windows 和 macOS 都提供了能够检测隐藏在浏览器背后的恶意软件的工具。

在 Windows 系统中，务必启用并更新 Windows Defender（或其他任何一款优秀的杀毒软件）。完整的系统扫描可以发现可能通过恶意扩展程序、可疑下载器或欺骗性网站入侵的有害程序。

在 macOS 系统上，也建议使用专业的安全软件，尤其是在发现系统不稳定、出现未知进程或浏览器频繁重定向等问题时。虽然苹果生态系统通常受到更严格的管控，但它并非完全不受此类威胁的影响。

清除所有潜在感染后，下一步是清理 Chrome 浏览器。为此，您可以将浏览器设置重置为初始值。前往“设置”，滚动到页面底部，然后打开“高级设置”。在 Windows 系统中，您可以在“重置设置和清理”部分找到“重置设置”选项。在 Mac 系统中，您可以在“重置设置”部分找到“恢复原始默认设置”选项。

重置 Chrome 浏览器可以清除扩展程序或恶意软件所做的更改：它会恢复您的主页、默认搜索引擎和主页标签页，并禁用所有扩展程序。您的书签、历史记录和密码通常会被保留，但请务必在确认重置前查看 Chrome 提供的摘要信息。

重置后，请再次检查扩展程序列表，仅启用您完全信任的扩展程序。如果您对任何扩展程序有任何疑虑，最好将其卸载并寻找更安全的替代方案。同时，也请更新您的操作系统和主要应用程序，因为许多威胁会利用旧版本中的安全漏洞。

安全使用 Chrome 扩展程序的最佳实践

第一条黄金法则就是只安装真正需要的扩展程序。扩展程序越少，攻击面就越小。很容易就会积累一些不再使用的插件，但它们每次浏览网页时仍然可以访问你的数据。

定期检查您的扩展程序：定期访问 chrome://extensions，删除任何您不使用或不记得安装的扩展程序。没有明显价值的扩展程序只会占用资源、降低浏览器速度并增加安全风险。

安装任何新插件之前，请仔细阅读其请求的权限。如果它请求访问与其既定用途无关的数据或功能，请务必提高警惕。总有更注重隐私的替代方案。

不要盲目相信 Chrome 网上应用商店会过滤掉所有东西。虽然谷歌会在发布扩展程序之前进行分析，但经验表明，许多威胁会漏网，即使有用户评论警告问题，它们也能持续活跃数月甚至数年。请将官方应用商店视为一个基本的过滤机制，而非绝对的保障。

最后，浏览网页时要保持常识：警惕那些强迫你安装扩展程序才能查看内容的网站、那些声称只有下载插件才能修复病毒的耸人听闻的信息，以及那些听起来好得令人难以置信的承诺。对于扩展程序，保持足够的怀疑态度是你最好的盟友。

谨慎选择安装的扩展程序，监控其权限，并充分利用 Chrome 的防护功能，是抵御恶意扩展程序最有效的方法。将这些最佳实践与可靠的杀毒软件和定期浏览器扫描相结合，可以最大限度地降低看似无害的插件成为恶意软件或数据窃取入口的风险。