Chromium 浏览器扩展利用 AI 相关品牌标识劫持浏览器搜索流量
导语：Microsoft 威胁情报中心披露了一起仿冒 AI 问答引擎 Perplexity AI 的恶意 Chromium 浏览器扩展事件。该扩展利用 MV3 API 与中间基础设施透明劫持用户的搜索查询与实时输入建议，已通过负责任披露由 Google 下架。
Microsoft 威胁情报中心发现了一个恶意的基于 Chromium 的浏览器扩展，它仿冒 AI 驱动的问答引擎 Perplexity AI，诱使毫无防备的用户安装。基于对该扩展行为的观察，我们评估其主要目标是搜索流量拦截与数据收集，这可能根据操作者的意图实现画像构建、定向广告或其他形式的滥用等下游用途。通过负责任的披露流程，我们已将该扩展上报给 Google，截至本文撰写时该扩展已被下架。我们感谢 Google 对该问题的响应和处理。
浏览器扩展由于拥有对浏览器 API、用户流量和浏览行为的特权访问权限，仍然是企业和消费者生态系统中一个重要的攻击面。然而，与传统主要依赖激进变现或可见重定向的搜索劫持者不同，该扩展将 Manifest Version 3（MV3）能力与中间基础设施以及 declarativeNetRequest（DNR）规则相结合，在保持合法搜索结果外观的同时，透明地拦截 Omnibox 中的查询。尽管浏览器搜索劫持并非一个新的威胁类别，本研究凸显了威胁行为者如何持续将 AI 武器化以加速攻击——具体而言，就是将 AI 品牌用作社会工程向量。
该扩展将完整的搜索查询以及实时搜索建议（即用户键入的字符）通过托管在与合法厂商无关的域名上的攻击者控制基础设施进行转发，然后将用户重定向至预期的搜索提供商。虽然观察到的活动展示了捕获用户输入和浏览信号的能力，但我们的分析中并没有明确确认存在凭据窃取等其他目标的证据。然而，该扩展所请求的访问权限级别引入了更高的隐私和安全风险。
随着威胁行为者持续利用 AI 等新兴行业趋势，并借助受信品牌来提高其攻击活动的成功率，组织应当加强用户安全意识培训及相关项目，向终端用户普及最新的社会工程战术。组织还应当实施分层的安全策略，将可用的威胁指标与行为信号及其他威胁情报进行关联分析。
在本篇博文中，我们提供了对该浏览器扩展的分析，包括恶意行为的关键指标以及动态分析的结果。我们还提供了缓解与防护指南以及高级狩猎查询，以帮助组织检测和防御该威胁。该扩展通过使用相似的品牌元素和一个仿冒（typosquatted）域名，伪装了公开可用的 Perplexity 服务。这种域名不匹配可能会增加用户对扩展来源或归属产生混淆的可能性。基于我们的分析，由于观察到搜索重定向行为，该扩展被归类为恶意扩展。
经分析的扩展清单（manifest）声明其自身为以下内容：该扩展同时通过 chrome_settings_overrides 强制将自己设置为浏览器默认搜索引擎，拦截并重定向 Chromium 浏览器 Omnibox 中所有查询至与官方厂商域名无关的中间基础设施。该扩展使用的域名是 perplexity-ai[.]online，与合法 Perplexity AI 服务的域名（perplexity[.]ai）相似。这种模式与钓鱼活动、搜索劫持者、伪造 AI 应用和扩展恶意软件中常见的域名命名方式一致。
关键在于，suggest_url 字段同样通过 perplexity-ai[.]online 进行路由。这意味着实时搜索建议（即用户在地址栏中输入的每一个字符）会在任何重定向发生之前被传输到攻击者控制的基础设施。这构成了超出简单搜索重定向范畴的主动用户监视（按键级别的捕获）。尽管基于 Chromium 的浏览器允许出于合法用途进行搜索引擎覆盖，但 Google 明确指出，请求设置覆盖并同时使用其他强大能力的扩展可能违反浏览器的单一用途策略。
该扩展请求强大的 DNR 权限，使其能够进行流量重定向、URL 重写和选择性请求过滤，这些行为与预期的 AI 助手行为不一致。这些权限提供了被该扩展利用的具体能力，包括流量操纵、URL 重写规则、查询过滤以及对浏览器网络栈的精细控制。在一个以 AI 为主题的搜索扩展中使用这些权限尤其令人担忧，因为合法的搜索用户界面通常不需要高级的网络操纵 API。多组规则集表明该扩展针对 Perplexity、Google 和 Bing 等提供商具备模块化的流量劫持能力。
来源信息
来源：Microsoft Security Blog
作者：Microsoft Defender Security Research Team and Microsoft Defender Experts
