近期，360宁静大脑监测到一款伪装成“惠惠购物助手”的浏览器恶意拓展，通过云控挟制了hao123、2345等在内的20多个网站，并在哔哩哔哩等多家网站中插入了“头条部落”的新闻广告，导致不少用户在会见浏览器时会自动跳转到其他站点，严重影响了用户的使用体验，现在有超5万台机械受到影响。不外宽大用户无需担忧，现在360宁静卫士可全面拦截该恶意拓展的挟制攻击，建议宽大用户实时下载安装360宁静卫士掩护电脑隐私及产业宁静。

“混淆视听”—接纳极具疑惑性的伪装 多方挟制牟利通过对比发现，该“山寨”扩展和官方扩展相比，仅有版本号和扩展ID的差别，极大的诱惑性使得普通用户很难分辨真假，对比图如下所示：此外，为疑惑视听，该恶意扩展还在其代码中进一步将所有JS文件均举行了混淆。360宁静大脑经由去混淆分析后发现，该恶意扩展会挟制QQ、hao123、2345、天猫、京东、携程、百度搜索、搜狗搜索、苏宁、阿里巴巴精选在内的多家电商、搜索、导航网站，并在新闻头条、哔哩哔哩、4399、江西新闻网等多家网站插入头部广告，以此牟取暴利。在哔哩哔哩等网站中插入"头条部落"广告 “因地制宜”—差别网站差别方法 告竣攻击全笼罩值得一提的是，伪装成“惠惠购物助手”的恶意扩展在挟制差别性质的网站时，使用了差别的挟制方法，好比在挟制QQ、2345、Hao123等网站时会通过hxxps://hao.815ff.com/api/goods/v1/get.script.core?v=20190705.01获取挟制规则，并凭据规则直接将其挟制到毒霸导航。

而在挟制天猫、京东、携程、百度搜索、搜狗搜索、苏宁、阿里巴巴精选等电商、搜索网站时，该恶意扩展使用的挟制规则却分外地使用AES ECB模式举行了加密。当恶意扩展从服务端链接hxxps://hao.815ff.com/api/goods/v1/get.goods.v2/?ua=[UserAgent]获取挟制规则后，需先将其解密才气进一步凭据规则实施挟制。在挟制规则的加密算法中， padding操作方式为Pkcs7，加密所使用的密钥为” 1234569982195557”，相关解密函数如下图所示：解密后的完整规则如下所示：停止到现在，已有凌驾5万用户受到该恶意扩展影响，为制止此类挟制攻击面积进一步扩大，360宁静大脑建议宽大用户做好以下防御措施抵御此类攻击。1、 实时下载安装360宁静卫士，并保证开启，抵御各种病毒木马攻击；2、 当浏览器会见自动跳转到带计费链接等异常广告页面时尽快使用宁静软件举行查杀清理；3、 切记不要安装泉源不明的扩展法式，建议用户选择正规渠道如浏览器扩展中心或Chrome 网上应用店安装扩展，以免自己的浏览器成为非法分子控制挟制的工具。

IOCs2b44c4d9cfde2a261d87af3d5796547763055bca扩展ID: jgpgbkoifojhkpddkmdaidbaljcocmmfUrlshxxps://hao.815ff.com/api/goods/v1/get.script.core?v=20190705.01hxxps://hao.815ff.com/api/goods/v1/get.goods.v2/?ua=[UserAgent]hxxps://tg.s4e54s.cn。

本文来源：开云App官方下载-www.cqlaisen.com