恶意浏览器扩展、加密剪贴板劫持者和浏览器重置¶

注意到加密货币钱包地址（BTC, ETH, SOL, USDT) 或您刚刚复制的银行 IBAN/路由号码 Ctrl+C （Cmd+C）在您按下的瞬间神奇地变成了陌生人的地址 Ctrl+V （Cmd+V），发现您几年前安装的 Chrome、Edge、Brave 或 Firefox 扩展程序（“PDF 转换器”、“音量助推器”、“视频下载器”或“AI 助手”）被秘密出售给广告软件集团，现在正在注入流氓附属链接并收集您的会话 cookie，或者发现您的默认搜索引擎被锁定到消息 “您的浏览器由您的组织管理” 下的被劫持的重定向页面，这是一个严重的端点紧急情况。由于现代 Web 浏览器保存 Gmail、Microsoft 365、企业云控制台、密码管理器和 Web3 钱包的活动的经过身份验证的会话 Cookie，因此授予单个流氓浏览器扩展 "Read and change all your data on all websites" （<all_urls> 或 *://*/* 主机权限）绕过多重身份验证（MFA）完全通过读取 DOM 输入、击键和 navigator.clipboard 实时缓冲。

如果浏览器遭到入侵还伴有主动勒索、人身威胁或正在进行的公司电汇抢劫，请拨打您当地的紧急电话号码 (911 在美国和加拿大， 112 整个欧盟， 999 在英国）或查阅我们的国际名录 紧急号码 立即地。对于恶意浏览器扩展、加密剪贴板恶意软件或浏览器策略劫持的所有情况，请执行下面的取证删除和会话撤销工作流程。

现在就这样做¶

1. 停止粘贴敏感数据（Ctrl+V / Cmd+V）并且在未验证硬件钱包屏幕上的前 6 个和后 6 个字符的情况下切勿批准加密货币交易：剪贴板劫持者恶意软件（“Clippers”/ CrypToClipper) 使用正则表达式 (RegEx）每 100 毫秒监控一次您的操作系统和浏览器剪贴板。当你复制一个 0x... 以太坊地址， bc1... 比特币地址或 Solana 地址，它将剪贴板内容与攻击者拥有的虚荣相似地址进行交换。
2. 打开之前断开受感染计算机的 Wi-Fi/以太网连接 chrome://extensions （edge://extensions / about:addons)：许多恶意扩展程序会监视用户导航到扩展程序管理选项卡，然后自动关闭该选项卡、隐藏自身，或者在您单击“删除”之前对打开的会话 cookie 进行最终渗漏转储。首先关闭 Wi-Fi 会切断他们的命令和控制权（C2） 渠道。
3. 在删除恶意扩展程序之前，请关闭 Google、Microsoft 或 Mozilla 帐户中的“扩展程序同步”：如果启用了 Chrome 同步、Edge 同步或 Firefox 同步，则在一台笔记本电脑上本地删除恶意扩展程序通常会失败，因为您的云配置文件或其他已登录的桌面会在几分钟后自动将扩展程序重新推送回您的计算机。前往 chrome://settings/syncSetup/advanced （edge://settings/profiles/sync）并首先将扩展切换为关闭。
4. 记录 32 个字符的分机 ID (Developer Mode -> ID）并删除扩展名及其本地 IndexedDB / Local Extension Settings 磁盘中的文件夹：在单击 删除 之前，请打开右上角的 开发者模式 chrome://extensions 并写下 32 个字母的 ID（例如， aeblfdkhhhdcdjpifhhbdiojplfjncoa）。了解确切的 ID 可以让您确认扩展程序是否被标记为恶意软件并清除本地中的剩余文件夹 AppData / Library 目录。
5. 清除虚假的企业浏览器策略（chrome://policy 和 edge://policy）显示“您的浏览器由您的组织管理”：在个人家用计算机上，看到“由您的组织管理”* 表示广告软件或特洛伊木马编写了恶意软件 ExtensionInstallForcelist 或 SearchProvider 键入您的 Windows 注册表（HKLM\SOFTWARE\Policies\Google\Chrome) 或 macOS 配置文件 (System Settings -> General -> Device Management），因此您无法单击“删除”按钮。
6. 通过在干净的设备上单击“退出所有会话”，使所有被盗的浏览器会话 cookie 失效：因为带有以下内容的恶意扩展 <all_urls> 许可或 chrome.cookies access 已经复制了您的实时登录令牌，只需删除扩展程序就不会将攻击者踢出您的帐户。使用干净的智能手机强制对您的电子邮件、银行、云和社交帐户进行全局退出所有设备/撤销会话**，并按照我们的要求轮换您的密码 数据泄露响应和密码泄露指南。

Decision tree: isolating browser extension threats, policy hijackers, and OS clippers¶

Follow this diagnostic flowchart to identify which layer of your browser or operating system is compromised and eradicate the persistence mechanism:

flowchart TD
    Start["检测到浏览器异常：剪贴板地址交换、搜索重定向、恶意弹出窗口或帐户会话被盗"] --> Test{"1.完全关闭浏览器并在记事本/文本编辑中复制/粘贴加密地址：它会变异吗？"}
    Test -->|"是：地址在浏览器外部发生变化"| OSClip["操作系统级 CLIPPER 恶意软件：在任务管理器中杀死恶意进程、清除计划任务/运行密钥并运行离线 AV 扫描"]
    Test -->|"否：仅发生在浏览器内部"| PolicyCheck{"2. 打开 chrome://policy 或 edge://policy：您的家庭电脑上是否列出了策略？"}
    PolicyCheck -->|"是：“由您的组织管理”/ExtensionInstallForcelist"| WipePolicy["删除恶意 Windows 注册表策略密钥（HKLM/HKCU 策略）或删除 macOS 配置文件"]
    PolicyCheck -->|"未找到政策"| ExtAudit["3. 禁用同步 -> 在 chrome://extensions 中启用开发者模式 -> 识别并删除恶意扩展"]
    WipePolicy --> ExtAudit
    OSClip --> ExtAudit
    ExtAudit --> DiskWipe["4. 从本地用户配置文件目录中删除剩余扩展文件夹、Service Workers 和 IndexedDB 缓存"]
    DiskWipe --> CookieRevoke["5. 从干净的设备：撤销所有活动会话（Google、Microsoft、GitHub、银行）并检查加密货币批准"]

合法的浏览器扩展如何在一夜之间变成恶意的（以及 5 种攻击类型）¶

超过 70% 的受恶意浏览器扩展感染的受害者从未点击过可疑的盗版软件链接：他们直接从官方 Chrome Web Store、Microsoft Edge Add-ons Store 或 Firefox Add-ons 安装了正常的、评价较高的扩展（AMO) 几个月或几年前。网络犯罪分子通过两种供应链方法破坏扩展：1。扩展获取/货币化接管（攻击者向独立开发者提供 5,000 至 50,000 美元的现金来购买流行的 100,000 用户扩展的所有权，然后推送包含模糊恶意软件的静默自动更新，每个现有用户的浏览器都会在后台自动下载这些恶意软件）；和2。开发者 OAuth 网络钓鱼（攻击者对合法扩展程序创建者的 Chrome Web Store 开发者帐户进行网络钓鱼，就像影响数十个企业和安全扩展程序的重大供应链漏洞中所发生的那样）。

Phase 1: How to audit, identify, and purge malicious extensions from Chrome, Edge, Brave, Firefox, and Safari¶

Do not simply glance at the icons next to your address bar: malicious extensions deliberately hide their toolbar icon (Action button hidden) or masquerade using the exact icon and name of Google Docs Offline, Google Translate, uBlock Origin, or Adobe Acrobat.

Step 1: Audit Your Installed Extensions and Capture the 32-Character ID¶

1. Disconnect your computer from Wi-Fi / Ethernet so no extension can transmit a final data payload or self-update while you inspect it.
2. Open your browser's internal extension management console by typing the exact URI into the address bar:
3. Google Chrome: chrome://extensions
4. Microsoft Edge: edge://extensions
5. Brave Browser: brave://extensions
6. Mozilla Firefox: about:addons (and also type about:debugging#/runtime/this-firefox to see temporary/hidden add-ons)
7. Apple Safari (macOS): Safari -> Settings (Cmd + ,) -> Extensions
8. Turn ON "Developer mode" (toggle switch in the top-right corner of Chrome, Edge, and Brave).
9. Turning on Developer mode reveals critical forensic details on every extension card:
10. ID: A unique 32-character lowercase string (such as cjpalhdlnbpafiamejdnhcphjbkeiagm）。
11. Inspect views: service worker / background page：显示扩展程序现在是否正在主动运行后台脚本。
12. Source: Installed by enterprise policy 或 Loaded from: C:\Users\... （未打包的扩展）：除非您是自己编写扩展的软件开发人员，否则任何合法的消费者扩展都不应说 Loaded from: [Folder Path] （未打包的扩展）**。恶意软件作者从隐藏的地方加载解压的扩展 AppData 或 ProgramData 通过快捷方式修改文件夹（chrome.exe --load-extension="C:\..."）以完全绕过 Chrome Web Store 安全扫描程序。
13. 根据这些删除标准检查每个扩展：
14. 单击详细信息 -> 权限（Site access) 在每个分机上。任何具有 ** 的扩展On all sites （Read and change all your data on all websites)** 这不是一个深受信任、可验证的开源安全工具（例如您的主要密码管理器），应立即删除，或者至少限制其站点访问 On all sites 到 On click。
15. 在您并不严格需要的任何 PDF 转换器、免费 VPN、视频/MP3 下载器、音量增强器、自定义光标、暗模式切换、优惠券查找器、AI 侧边栏或游戏扩展上单击“删除”。

第 2 步：检查扩展的 manifest.json 和删除前的实时网络流量（取证分类）¶

如果您在删除之前需要知道可疑扩展程序是否确实窃取了您的公司密码、会话 cookie 或加密货币密钥，请在 Wi-Fi 仍处于断开连接的情况下花两分钟检查磁盘上的本地源文件： 1. 复制 32 个字符 ID 显示在扩展卡上 chrome://extensions。 2. 导航到浏览器的本地 Extensions 磁盘上的文件夹（在下面步骤 4 的表中列出），然后打开与该 32 字符 ID 匹配的文件夹。 3. 打开manifest.json 使用 Windows 记事本或 macOS TextEdit 在该文件夹内创建文件并检查三个字段： - "permissions" 和 "host_permissions"：查找高风险权限，包括 "cookies", "webRequest", "declarativeNetRequest", "clipboardRead", "clipboardWrite", "scripting", "debugger", "proxy"， 和 "<all_urls>"。一个声称是简单的“黑暗模式切换”或“音量增强器”的扩展，要求 "cookies" 和 "<all_urls>" 几乎可以肯定正在收集登录会话。 - "content_scripts"：显示哪些 JavaScript 文件（content.js, inject.js）被注入到您访问的每个网页中，包括银行和加密钱包门户。 - "background" （"service_worker")：标识持久后台脚本（background.js 或 sw.js）。在记事本中搜索 JavaScript 文件中的字符串，例如 fetch(, XMLHttpRequest, WebSocket, navigator.clipboard, chrome.cookies.getAll, eth_sendTransaction, or atob( 揭示攻击者的命令和控制（C2) 域并准确显示哪些数据被泄露。

第三步：检查浏览器快捷方式目标劫持（--load-extension）¶

即使您点击里面的删除 chrome://extensions，一种常见的木马技术会修改您单击以启动 Chrome、Edge 或 Brave 的桌面和任务栏快捷方式图标，以便在您每次打开浏览器时自动重新加载隐藏的恶意解压扩展程序。 - 在 Windows 上： 1. 右键单击桌面上的 Google Chrome / Microsoft Edge / Brave 图标（然后右键单击任务栏上的图标 -> 再次右键单击浏览器名称 -> 单击 属性）。 2. 查看“快捷方式”选项卡下的“目标：”框。 3. 一个干净的目标框严格以 "chrome.exe" 或 "msedge.exe": - 干净的： "C:\Program Files\Google\Chrome\Application\chrome.exe" - 被劫持： "C:\Program Files\Google\Chrome\Application\chrome.exe" --load-extension="C:\Users\Public\Documents\ExtUpdater" https://search-hijack.com 4. 之后删除所有内容 chrome.exe" （或者完全删除快捷方式并直接从 C:\Program Files\Google\Chrome\Application\chrome.exe）。

步骤 4：从磁盘中删除剩余的扩展文件和 Service Worker¶

找到浏览器的本地配置文件目录并删除与恶意扩展的 32 个字符 ID 匹配的子文件夹，并清除已注册的服务工作人员：

After deleting the extension folder, open chrome://serviceworker-internals (or edge://serviceworker-internals) in your browser and click Unregister on any service worker associated with the removed extension or unfamiliar push-notification domains.

Step 5: Purge Rogue Push Notification Permissions, Hijacked Search Engines, and Malicious Proxy / DNS Settings¶

Many adware extensions and browser hijackers leave behind three secondary traps even after the extension binary is deleted: 1. Revoke Malicious Web Push Notification Subscriptions (Fake Antivirus Popups): - If fake McAfee, Norton, or Windows Defender virus alerts keep popping up in the bottom-right corner of your screen whenever your browser is open, those are HTML5 Web Push Notifications from a rogue site you accidentally granted notification permission to. - Open chrome://settings/content/notifications (or edge://settings/content/notifications / about:preferences#privacy -> Permissions -> Notifications in Firefox). - Scroll down to the "Allowed to send notifications" list, click the three dots next to every unfamiliar or suspicious domain, and click Remove or Block. 2. Reset Hijacked Default Search Engine & Startup Pages: - Open chrome://settings/searchEngines (edge://settings/search) and verify that your default search engine points to genuine Google (google.com), DuckDuckGo, or Bing rather than a lookalike redirect URL (search.yahoo.com/yhs/... 或 find-results.net). Delete all unrecognized search engines in the list. - Open chrome://settings/onStartup (edge://settings/onStartup) and check "Open a specific page or set of pages": remove any unfamiliar startup URLs injected by the adware. 3. Check for Hijacked System Proxy or Secure DNS (DoH) Settings: - Some malicious extensions and adware installers configure a local PAC (Proxy Auto-Config) script or rogue DNS-over-HTTPS (DoH) server so they can continue intercepting your web traffic after the extension is gone. - 在 Chrome/Edge 中，转到 chrome://settings/security -> 滚动到 使用安全 DNS 并验证其设置为您当前的服务提供商或受信任的公共解析器（Cloudflare 1.1.1.1, Quad9 9.9.9.9, or Google Public DNS），不是一个奇怪的自定义 URL。 - 然后打开chrome://settings/system -> 单击 打开计算机的代理设置，并验证 “使用设置脚本” 和 “使用代理服务器” 均已关闭（除非您的雇主要求）。

第 2 阶段：删除“由您的组织管理”的虚假企业政策（ExtensionInstallForcelist）¶

如果您使用的是个人家用计算机（不是您的雇主或学校发行的笔记本电脑），并且您无法单击可疑扩展程序上的删除按钮，因为它旁边有一个小办公楼图标，并且 Chrome/Edge 显示**“您的浏览器由您的组织管理”**，则广告软件已将虚假的企业组策略规则注入到您的操作系统中。

第 1 步：检查 chrome://policy 或 edge://policy¶

类型 chrome://policy (or edge://policy / about:policies 在 Firefox 中) 进入您的地址栏。 - 查找策略名称，例如 ExtensionInstallForcelist, ExtensionInstallAllowlist, ExtensionSettings, HomepageLocation, RestoreOnStartupURLs， 或者 DefaultSearchProviderSearchURL。 - 旁边的值列 ExtensionInstallForcelist 将显示恶意软件扩展的 32 个字符的扩展 ID 及其从中提取的更新 URL。

步骤 2：清除 Windows 上的恶意浏览器策略（提升的命令提示符）¶

在不应**应用任何公司浏览器策略的个人家用 Windows 10 或 Windows 11 电脑上，单击“开始”菜单，键入 cmd，右键单击“命令提示符”，选择“以管理员身份运行”，然后执行以下命令来擦除恶意 Chrome、Edge 和 Brave 策略注册表配置单元并刷新组策略：

reg delete "HKLM\SOFTWARE\Policies\Google\Chrome" /f
reg delete "HKCU\SOFTWARE\Policies\Google\Chrome" /f
reg delete "HKLM\SOFTWARE\Policies\Google\Update" /f
reg delete "HKCU\SOFTWARE\Policies\Google\Update" /f
reg delete "HKLM\SOFTWARE\WOW6432Node\Google\Enrollment" /f
reg delete "HKLM\SOFTWARE\Policies\Microsoft\Edge" /f
reg delete "HKCU\SOFTWARE\Policies\Microsoft\Edge" /f
reg delete "HKLM\SOFTWARE\Policies\BraveSoftware\Brave" /f
reg delete "HKCU\SOFTWARE\Policies\BraveSoftware\Brave" /f
rmdir /s /q "%WinDir%\System32\GroupPolicy"
rmdir /s /q "%WinDir%\System32\GroupPolicyUsers"
gpupdate /force

运行这些命令后，返回chrome://policy (or edge://policy) 并单击左上角的 重新加载策略 按钮。所有强制企业策略将立即消失，并且删除按钮 chrome://extensions 将解锁。

步骤 3：清除 macOS 上的恶意浏览器策略和配置文件¶

在 macOS 上，浏览器劫持者使用两种机制强制执行虚假企业策略：1。 macOS 配置文件 (MDM 配置文件） 用户被欺骗通过虚假的 Flash/视频播放器安装程序进行安装，以及 2.托管 plist 首选项文件。

1. 检查并删除恶意 macOS 配置文件：
2. 打开 Apple 菜单 -> 系统设置 -> 常规 -> 设备管理（在旧版 macOS Monterey/Big Sur 上，打开 系统偏好设置 -> 配置文件）。
3. 如果您使用的是个人 Mac，并且看到“设备管理/配置文件”下列出的任何配置文件（通常名为 “Chrome 设置”、“SearchConfig”、“AdminPrefs” 或 “WeKnow”），请选择它并单击 - 底部的（删除） 按钮，然后输入您的 Mac 密码将其删除。
4. 删除托管浏览器 plist 通过 macOS 终端的文件：
5. 打开终端 (Cmd + Space， 类型 Terminal）并运行这些命令以删除强制 plist 策略文件并清除 cfprefsd 缓存：

sudo rm -f /Library/Managed\ Preferences/com.google.Chrome.plist
sudo rm -f /Library/Managed\ Preferences/*/com.google.Chrome.plist
sudo rm -f /Library/Preferences/com.google.Chrome.plist
rm -f ~/Library/Preferences/com.google.Chrome.plist
sudo rm -f /Library/Managed\ Preferences/com.microsoft.Edge.plist
sudo rm -f /Library/Preferences/com.microsoft.Edge.plist
defaults delete com.google.Chrome ExtensionInstallForcelist 2>/dev/null
defaults delete com.google.Chrome HomepageLocation 2>/dev/null
sudo killall cfprefsd

重新启动 Chrome/Edge 并在 ** 处验证chrome://policy** 零政策仍然有效。

第 3 阶段：检测并根除操作系统级加密剪贴板劫持者（“Clippers”）¶

如果您删除所有浏览器扩展，完全关闭浏览器，并测试复制加密钱包地址（0x... 或 bc1...）在 Windows 记事本或 macOS TextEdit 中，并且粘贴的地址仍然会变异为攻击者的钱包地址？

这意味着操作系统级 Clipper 恶意软件二进制文件（Laplas Clipper, ClipBanker, phemedrone, RedLine，或流氓 Python/Node/AutoIt 脚本）正在操作系统后台运行并调用 Windows AddClipboardFormatListener / SetClipboardData API（或 macOS NSPasteboard 轮询循环）。

第 1 步：确定哪个进程当前保存或轮询您的剪贴板¶

• 在 Windows 上（PowerShell 实时进程和启动审核）： 以管理员身份打开 PowerShell 并运行此诊断命令以列出所有运行用户可写目录的非 Microsoft 后台进程（AppData, Temp, ProgramData, Users\Public）99% 的 Clipper 木马居住的地方：

Get-CimInstance Win32_Process | Where-Object {
    $_.ExecutablePath -match "AppData|Temp|ProgramData|Users\\Public"
} | Select-Object ProcessId, Name, ExecutablePath, CommandLine | Format-List

检查输出是否可疑 .exe, pythonw.exe, wscript.exe, cscript.exe, powershell.exe, mshta.exe, or AutoIt3.exe 进程耗尽 %AppData%\Roaming, %LocalAppData%\Temp, or C:\ProgramData。请注意 ProcessId （PID） 和 ExecutablePath，终止进程 Stop-Process -Id <PID> -Force，然后删除磁盘上的二进制文件。

• 审核 Windows 持久性位置 (Run 按键 & Scheduled Tasks）： 快船队通过添加注册表在重新启动后幸存下来 Run 钥匙，启动 .lnk 文件输入 shell:startup，或计划任务。运行这两个 PowerShell 检查以公开它们：

Get-ItemProperty "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run", "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run"
Get-ScheduledTask | Where-Object {$_.State -ne "Disabled" -and $_.Author -notmatch "Microsoft"} | Select-Object TaskName, TaskPath, State

下载 Microsoft Sysinternals 自动运行 (Autoruns64.exe） 从 learn.microsoft.com/en-us/sysinternals/downloads/autoruns，以管理员身份运行它，启用选项 -> 扫描选项 -> 验证代码签名 + 检查 VirusTotal.com，并删除 登录、计划任务 或 WMI 选项卡中的任何红色/未签名条目。

• 在 macOS 上（LaunchAgents 和后台进程审核）： 打开终端并检查所有用户和系统 LaunchAgents 和 LaunchDaemons （其中 macOS 剪辑器和 Atomic Stealer / Poseidon 持久性脚本隐藏）：

ls -la ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons
ps aux | grep -E "osascript|python|node|curl|base64|NSPasteboard"

检查任何不熟悉的情况 .plist 文件输入 -/Library/LaunchAgents 使用 cat -/Library/LaunchAgents/<filename>.plist，卸载它 launchctl unload -/Library/LaunchAgents/<filename>.plist，并删除 .plist 以及它指向的二进制文件。

第 4 阶段：感染后恢复（撤销被盗的会话 cookie、OAuth 令牌和 Web3 批准）¶

删除恶意浏览器扩展可以阻止未来的间谍活动，但它不会使会话 cookie、保存的密码或扩展在安装时已上传到攻击者服务器的钱包助记词无效。假设每个打开的选项卡以及存储在浏览器内置密码管理器中的每个密码都已被泄露：

1. 在您的关键帐户上强制全局“退出所有会话”：
2. 仅更改密码有时会使现有 OAuth 令牌或移动/Web 会话的有效期长达一个小时。 从干净的设备登录并明确单击 退出所有会话/撤销所有设备：
   • 谷歌/Gmail： myaccount.google.com/device-activity -> 选择每个不熟悉的会话或桌面会话 -> 注销。另请检查 myaccount.google.com/permissions 撤销第三方 OAuth 应用程序。
   • 微软/Outlook/365： account.live.com/proofs/manage/additional -> 单击 退出（强制在 24 小时内在所有浏览器上进行全局退出）。
   • GitHub / GitLab / AWS / 云控制台：转到 github.com/settings/sessions -> 撤销所有会话，并轮换任何个人访问令牌（PATs) 或 SSH 密钥。
   • Discord / Slack / 社交媒体：请注意，恶意扩展专门针对 Discord Local Storage 身份验证令牌和 Facebook Business Manager cookie；更改您的 Discord 密码（会自动重新生成您的 Discord 用户令牌）并终止 Facebook/Instagram 安全设置中的所有活动会话。
3. 迁移任何软件加密钱包（MetaMask, Phantom, Rabby, Keplr）安装在同一浏览器中：
4. 如果恶意扩展有 <all_urls> 或 scripting 访问权限，或者如果您的 PC 上运行了操作系统级信息窃取程序，它可能已读取您的加密保管库文件（ldb 文件在 Local Extension Settings）并在您输入密码时捕获您的钱包解锁密码。
5. 不要将资金保存在热钱包助记词中。在干净的设备或硬件钱包上生成全新的钱包助记词（Ledger, Trezor, Keystone), transfer your remaining assets to the new wallet, and revoke dangling token approvals at revoke.cash 跟随我们的 加密货币钱包流失和助记词妥协指南。
6. 执行完整的浏览器重置：
7. Go to chrome://settings/reset （edge://settings/reset / about:support -> Refresh Firefox) and click Restore settings to their original defaults. This resets your startup page, new tab page, search engine, and pinned tabs, clears temporary cookies, and disables any remaining extensions.

常见问题¶

Why did an extension I used safely for 2 years suddenly turn into malware or adware?¶

Browser extensions update automatically and silently in the background without asking for your permission unless the new version requests a brand-new permission category. Cybercriminal groups and ad-fraud syndicates regularly contact solo developers of popular, legitimate extensions (such as PDF tools, volume boosters, screen recorders, or ad blockers) and offer them thousands of dollars to sell their Chrome Web Store developer account or transfer ownership of the extension. Once the buyer controls the listing, they push a silent version update containing cookie-stealing or affiliate-hijacking code that infects every existing user overnight.

Does Google's Manifest V3 update make Chrome and Edge extensions completely safe from malware?¶

No. While Manifest V3 significantly improves security by banning extensions from loading remotely hosted executable JavaScript code from external servers (forcing all code to be bundled inside the extension package submitted to the store), malicious extensions compiled under Manifest V3 can still abuse broad host permissions (On all sites), read DOM form inputs and keystrokes, hijack the clipboard via content scripts, steal cookies, and manipulate search results via declarativeNetRequest rules. Limiting extensions to only those you strictly trust and setting their Site Access permission to "On click" rather than "On all sites" remains essential.

How can I protect my cryptocurrency transfers from clipboard hijacker malware in the future?¶

First, never verify only the first 4 and last 4 characters of a pasted wallet address, because modern clipper malware uses pre-computed vanity address pools to pick an attacker address that shares the same starting and ending characters as your intended recipient; always check at least the first 6, middle 6, and last 6 characters. Second, use an offline Hardware Wallet with a physical screen (such as a Ledger, Trezor, or GridPlus) and verify the full recipient address on the hardware device's physical screen before pressing the physical confirmation button, and save frequently used recipient addresses inside your wallet's whitelisted Address Book rather than copying and pasting them from your clipboard.

来源已检查¶

• Cybersecurity and Infrastructure Security Agency (CISA, United States) & Federal Bureau of Investigation (FBI): Joint Cybersecurity Advisories on Infostealer Malware, Session Cookie Hijacking, and Malicious Browser Extensions.
• National Institute of Standards and Technology (NIST, United States): SP 800-83 Rev. 1, Guide to Malware Incident Prevention and Handling for Desktops and Laptops.
• Google Chrome Enterprise & Chromium Security Team: Chrome Enterprise Policy List (ExtensionInstallForcelist), Manifest V3 Extension Security Architecture, and Remedying Unauthorized Policy Injection.
• Microsoft Security Response Center (MSRC) & Microsoft Defender Threat Intelligence: Analyzing and Remediating CrypToClipper / Clipboard Hijacker Malware and Rogue Browser Policy Registry Persistence (HKLM\SOFTWARE\Policies\Microsoft\Edge).
• National Cyber Security Centre (NCSC, United Kingdom): Device Security Guidance: Managing Browser Extensions, Enterprise Policy Controls, and Mitigating Token Theft.

相关指南¶

• 加密货币钱包流失、助记词泄露和撤销批准
• 恶意软件、勒索软件和间谍软件感染清除
• MFA 网络钓鱼、中间对手 (AiTM) 绕过和会话 cookie 盗窃
• 数据泄露响应、密码泄露和信用冻结
• 按国家/地区划分的紧急电话号码