新的惡意程式工具包保證能在 Chrome Web Store 上上架

根據 Varonis 研究人員指出，一套名為「Stanley」的全新惡意軟體即服務（Malware-as-a-Service，MaaS）工具包，正向使用者提供保證可上架至 Chrome Web Store 的服務，並可繞過 Google 的安全驗證流程。

Varonis 表示：「只要支付 2,000 至 6,000 美元，Stanley 就能提供一套偽裝成 Chrome 擴充功能的網站仿冒一條龍服務，其高階方案更承諾保證成功上架至 Chrome Web Store。我們已於 2026 年 1 月 21 日通報 Chrome Web Store 與相關主機代管服務商。隔天其 C2 伺服器即被下線，但該擴充功能目前仍在商店中上架。」

當使用者安裝該惡意擴充功能後，攻擊者即可在顯示釣魚頁面的同時，變更瀏覽器網址列中所顯示的 URL。

研究人員說明：「一旦鎖定目標，攻擊者會為該使用者設定專屬的 URL 劫持規則。他們會設定來源 URL（欲劫持的合法網站）與目標 URL（欲顯示的釣魚頁面）。每次感染都可個別啟用或停用規則，使攻擊者能分階段部署攻擊並按需觸發。其操作介面極為簡單，只需在『新增重新導向』對話框中輸入任意來源與目標網址配對即可。」

此外，攻擊者還可觸發合法的 Chrome 通知，引誘使用者點擊並前往釣魚網站。

Varonis 指出：「6,000 美元的價格，反映的可能是 Chrome Web Store 上架保證與管理控制面板的價值，而非程式碼本身的技術複雜度。」

「正是這項上架保證，使得過往的資安建議顯得不足。像是『只從官方商店下載、查看評價、確認驗證標章』等做法，當惡意擴充功能能通過 Google 的審查流程，並與合法工具一同存在於 Chrome Web Store 時，就難以發揮效果。一旦成功上架，這些擴充功能可能在數月內不被發現，悄悄竊取成千上萬使用者的帳號憑證。」

導入 AI 驅動的資安意識訓練，可為您的組織建立一道關鍵防線，以因應不斷演變的社交工程攻擊。KnowBe4 協助您的員工每天做出更明智的資安決策。全球超過 70,000 家組織信賴 KnowBe4 HRM+ 平台，以強化資安文化並降低人為風險。

完整報導請參閱 Varonis。

文章來源：New Malware Kit Promises Guaranteed Publication in the Chrome Web Store