恶意的Chrome扩展使用原生消息主机来执行PowerShell命令

O安全研究员
O安全研究员

O安全研究员

2026年6月25日 19:54
广东

在小说阅读器读本章

去阅读

一场新发现的恶意软件活动将谷歌浏览器变成了远程后门，却未违反浏览器内置规则。该攻击于2026年6月被发现，邮件中出现的意大利语钓鱼邮件，看起来像是标准的商业发票。

邮件声称请求的发票已准备好，已由会计办公室签字，显示一个看似合法的PDF附件等待下载。

真正的弹药隐藏在明处。下载的文件名为Fattura-2819889242.pfd.js，扩展名不寻常，显然是快速浏览时模仿PDF文件名。

一旦受害者运行该文件，Windows 脚本主机会执行一个混淆JavaScript，将另外两个文件丢入用户的临时文件夹。从那时起，感染迅速蔓延，并保持隐蔽。

D3Lab的分析师在与网络安全新闻（CSN）分享的一份报告中指出了这一活动。他们的发现显示，这次攻击区别于普通浏览器威胁的不是钓鱼邮件本身，而是恶意软件随后安装的内容。

一个流氓的Chrome扩展和原生消息主机的结合，为攻击者提供了一个持久的立足点，并无缝融入了正常的系统活动。

其影响不仅限于数据盗窃。攻击者从感染的机器中收集了浏览器Cookie、打开的标签页、URL和指纹识别数据。被盗的认证Cookie可能让攻击者劫持当前会话，而无需获取受害者密码。

除了 cookie 盗窃，该恶意软件还作为一个完整的远程命令工具，能够在受害者的 Windows 系统上运行 PowerShell 指令。

这场运动尤其令人担忧的是它滥用了日常技术。

签名应用、企业级Chrome策略和原生消息是组织日常依赖的工具。攻击者将这些功能结合起来，将标准功能变成了完整的攻击链。

恶意的Chrome扩展使用原生消息主机

JavaScript文件运行时，丢弃了两个文件：client\_124578.exe和d3d11.dll。该可执行文件是一个合法签名的文件，关联到EpicGames，使得大多数安全工具都觉得可信。

恶意d3d11.dll通过DLL侧载一同加载，即可信应用程序因Windows解决文件依赖的方式而无意中拉入攻击者控制的库。

该 DLL 启动了一个隐藏的 PowerShell 进程，准备了 Chrome 扩展并修改了 Chrome 的企业策略设置。

该扩展名为 Cloud vn105rkj64，注册于 Chrome 的 ExtensionInstallAllowList 和 ExtensionInstallSources 策略键下，使其看起来像是管理员批准的部署。

这实际上绕过了通常会提醒用户安装新扩展的提示。

Chrome 扩展无法直接在电脑上运行程序，而这正是浏览器安全设计的核心部分。不过，Chrome 支持原生消息传递，允许扩展与系统中已安装的配套应用程序通信。

恶意软件注册了一个原生消息主机，该主机连接了Chrome扩展和Windows，使扩展能够发出完全在浏览器沙箱之外运行的命令。

指挥执行与攻击者收集的物品

一旦后门激活，扩展通过POST请求联系了ext2[.]信息。第一次交换向攻击者的服务器发送了Google Cookie、打开标签页、网址、浏览器语言设置和受害者标识符。

这让攻击者获得了足够的信息，劫持活跃会话并对受害者进行画像，而从未知道他们的密码。

攻击者随后发送命令，列出了C盘的完整内容，输出通过同一POST通道返回。

这证实了该设置不仅仅是 cookie 窃取工具，而是真正的远程访问后门。仅仅屏蔽可疑的PowerShell活动无法阻止威胁，因为控制通道完全在浏览器内部运作。

防御者应审计意外的 Chrome 企业策略条目，特别是在非管理系统的 ExtensionInstallAllowList 和 ExtensionInstallInstallSources。

原生消息注册应与批准软件进行交叉核对。响应团队还必须清除原生消息托管，审查PowerShell日志，使暴露会话失效，并重置可能被泄露的凭证。

泄露指标（IoCs）：