援引英國(guó)The Register報(bào)道上周在新加坡召開的黑帽亞洲2016安全峰會(huì)上，來自美國(guó)的兩名科學(xué)專家在演講中詳細(xì)解釋了熱門Firefox擴(kuò)展應(yīng)用程序如何被其他(惡意)擴(kuò)展程序利用來攻擊用戶。來自美國(guó)波士頓大學(xué)的Ahmet Buyukkayhan博士和東北大學(xué)的William Robertson教授在此次峰會(huì)上透露和公布了能夠被攻擊者利用的Mozilla的擴(kuò)展生態(tài)系統(tǒng)漏洞。

在過去兩年間，兩名安全專家使用了稱之為“extension reuse”的機(jī)制來創(chuàng)建了各種惡意擴(kuò)展程序，從而讓惡意代碼感染其他擴(kuò)展程序，并最終通過他們來最終感染系統(tǒng)。并且伴隨著感染的深入，該惡意擴(kuò)展程序可在Firefox不斷執(zhí)行提升權(quán)限，從而獲取足夠多的能力來實(shí)現(xiàn)攻擊者的目的。而更為糟糕的是，至少有1款惡意擴(kuò)展能夠輕松通過Mozilla的審查流程。

在他們的測(cè)試中，他們可以使用類似于油猴擴(kuò)展（超過150萬(wàn)激活安裝）、Video DownloadHelper (650萬(wàn)激活安裝)和NoScript (250萬(wàn)激活安裝)等成功實(shí)現(xiàn)了惡意攻擊。