Socket／資安研究：319 個 Chrome 擴充套件累計約一千三百四十萬安裝——未上架搜尋卻劫持預設搜尋並經代理賺取 Bing／Yahoo 分潤

Key takeaway

軟件供應鏈保安公司 Socket 於二零二六年十月二十九日發布調查報告，指合共三百一十九個 Chrome 擴充套件累計約一千三百四十萬次安裝，以未列入 Chrome 網上應用程式商店搜尋結果的方式流通，並透過改寫預設搜尋引擎、把查詢經營運者代理伺服器轉送至 Bing 或 Yahoo，賺取搜尋廣告分潤；代理端理論上可按請求改寫最終目的地，構成釣魚或惡意下載風險。本文核對自 Socket 官方研究與 BleepingComputer 報道，來源真實性已驗證。

Socket／資安研究：319 個 Chrome 擴充套件累計約一千三百四十萬安裝——未上架搜尋卻劫持預設搜尋並經代理賺取 Bing／Yahoo 分潤

軟件供應鏈保安公司 Socket 於二零二六年十月二十九日發布調查報告，指合共三百一十九個 Chrome 擴充套件累計約一千三百四十萬次安裝，以未列入 Chrome 網上應用程式商店搜尋結果的方式流通，並透過改寫預設搜尋引擎、把查詢經營運者代理伺服器轉送至 Bing 或 Yahoo，賺取搜尋廣告分潤；代理端理論上可按請求改寫最終目的地，構成釣魚或惡意下載風險。本文核對自 Socket 官方研究與 BleepingComputer 報道，來源真實性已驗證。

Socket／資安研究：319 個 Chrome 擴充套件累計約一千三百四十萬安裝——未上架搜尋卻劫持預設搜尋並經代理賺取 Bing／Yahoo 分潤

瀏覽器擴充套件若只改預設搜尋、又不在商店搜尋中出現，往往被當成「灰色廣告軟體」而低估。Socket 研究員 John Tuckner 於二零二六年十月二十九日公開《Searchjacked》報告，把這類行為定性為搜尋劫持（searchjacking）：少數有組織營運者以廣告導流安裝未上架（unlisted）擴充套件，改寫 chrome_settings_overrides 預設搜尋提供者，把每次查詢先送到己方代理，再附上 Yahoo／Bing 聯盟追蹤參數換取分潤。來源真實性已驗證。

一、核心事件與研究發現

規模：319 套件、約一千三百四十萬安裝

Socket 指本次調查在二零二五年四月前作（五十七個擴充套件、約六百萬用戶）之上，再找出二百六十四個新套件、約八百七十萬用戶，合計三百一十九個獨立擴充套件、約一千三百四十萬（報告另寫約一千三百四十四萬）安裝，時間跨度達十年。若把這批套件視為「單一」預設搜尋產品，安裝量可跻身現時 Chrome 擴充套件人氣榜約前二十五名。

套件多偽裝成 PDF 轉換器、說明書搜尋、安全搜尋或「AI 搜尋」工具；多數並無背景腳本、內容腳本或額外權限，僅靠 Manifest 內的搜尋提供者覆寫即可完成劫持。安裝時 Chrome 會提示更改預設搜尋，但提示通常不會清楚寫出查詢最終經哪台代理、哪組聯盟帳號結算。

流通方式：未上架＋惡意廣告

Socket 強調多數相關套件在 Chrome 網上應用程式商店設為未上架，商店內搜尋找不到，必須靠精確擴充套件 ID 或外部連結開啟商店頁。安裝來源主要是網頁彈出／底層廣告（含 Google Ads、Bidbrain 等），常見於訊號品質較差的內容農場與小型變現網站。報告發布時多數套件已被下架，但新網域與新誘餌持續出現。

可識別營運集群

報告按廣告商、隱私政策與聯盟 ID 歸類多個營運者，其中包括：Intango LTD 約一百一十一個套件、約二百一十八點七萬安裝；「SecuryBrowse」波次五十八個套件、約四百九十萬用戶（常用 Fire Shield、Securify、WatchTower 等保安品牌包裝）；「Bing-Search」集群三十七個套件、約二百二十一萬用戶（多經 Bidbrain 推廣）。BleepingComputer 引述同一報告，並指已向 Google 查詢，截稿前未獲回覆。

二、技術原理與風險模型

合法 API、惡意用途

Chrome 擴充套件框架內建 chrome_settings_overrides.search_provider，允許把預設搜尋改成指定 search_url。Socket 展示的一個樣本幾乎只有 Manifest 與圖示，沒有可執行邏輯；風險不在「申請了多少敏感權限」，而在「查詢是否先經過攻擊者可控的伺服器」。

為何一定要代理

查詢通常不會直達 Yahoo 或 Bing，而是先經營運者代理再附上聯盟參數（Yahoo 的 hspart／hsimp；Bing 的 PC／PTAG）。Socket 歸納三個動機：核對分潤、完整擷取搜尋歷史（可綁定識別符），以及按請求決定導向（類似流量分發系統）。今天多數導向仍落在真實搜尋結果頁，但同一擴充套件無需更新，代理即可改寫目的地。

Predator Search（擴充套件 ID odkcfoohjiicbelloepgcomekdknchjh，約五萬用戶）被用作示範：六次相同查詢經同一代理，分別落到附夥伴標籤的 Yahoo、searchlio.net 落地頁、經 searchtosearch.com 再到 mcftink.com，以及 Cloudflare 無回應錯誤頁。擴充套件本身未變，是代理在選路。

為何不只是「討人厭程式」

Socket 主張：唯一功能是攔截用戶本可直接完成的搜尋、刻意隱藏於商店索引、靠低質廣告推廣且幾乎無附加價值的擴充套件，本質上應視為惡意。即使目前以廣告分潤為主，代理端仍可在累積足夠搜尋與地理／客戶端特徵後，選擇性導向釣魚頁或惡意下載——這把「瀏覽器設定篡改」提升為可持續的供應鏈與偵察面。

三、日常應用場景

1. 開發者與技術團隊

應把「未上架擴充套件＋僅覆寫搜尋提供者」納入威脅模型與內部瀏覽器基線：企業受管 Chrome／Edge 宜用允許清單，禁止員工自行安裝商店外鏈或廣告導流的套件；CI／內部文件勿教導「一鍵安裝 PDF／說明書搜尋」類來路不明工具。資安團隊可用擴充套件 ID、商店未上架狀態與 chrome_settings_overrides 作為偵測特徵，對對照 Socket 公開清單。

2. 企業與隱私敏感行業

金融、法律、醫療與政府外包環境中，員工搜尋紀錄可能含客戶名、案號或內部系統關鍵字。若查詢先經第三方代理，等於把搜尋歷史與可能的識別符交予不明營運者。應在終端管理（MDM／瀏覽器雲端政策）強制預設搜尋與擴充套件政策，並把「廣告誘使安裝擴充套件」納入釣魚演練情境。發現可疑套件後，除卸載外，應輪替期間可能於瀏覽器保存的工作階段權杖，並做全機防毒掃描。

3. 一般用戶

避免在瀏覽普通網頁時安裝彈出廣告推銷的「PDF 轉換／安全搜尋／AI 搜尋」擴充套件；安裝前確認商店可否搜尋到該套件、出版者是否具可驗證身分。若網址列搜尋結果異常跳轉、出現陌生中介網域，應立即檢查已安裝擴充套件並移除清單內或來路不明項目，改回系統或信任搜尋引擎的預設設定。

4. 香港與亞洲市場視角

香港中小企普遍以 Chrome 處理網銀、ERP 與客戶通訊，終端管理成熟度參差；員工在資訊網站點擊「一鍵安裝」的機率不低。建議把瀏覽器擴充套件治理納入雲端遷移與網絡安全專案：受管裝置用政策鎖定搜尋與套件、影子 IT 盤點、以及供應鏈風險（廣告網路→落地頁→未上架商店頁）的員工教育。對依賴 Bing／Yahoo 聯盟或自營瀏覽器產品的本地廣告技術商，亦應檢視自身流量是否與報告所述模式重疊，以免商譽與合規風險。

四、專業評價與潛在考量

優勢

Socket 以可核對的安裝量、擴充套件 ID、聯盟參數與廣告透明度方法，把長期存在的「搜尋分潤擴充套件」問題寫成可操作情報；點出「零額外權限仍可惡意」有助糾正僅靠權限清單掃風險的慣性。BleepingComputer 等媒體交叉報道提高可發現性；報告公開集群名稱與規模，方便企業對照卸載。

需要留意的地方

安裝數字為商店回報值加總，含歷史與已下架項目，不等於「此刻仍有一千三百四十萬活躍受害者」。Socket 對惡意導向多屬能力推論與個案變異性觀察，並非主張已大規模改導向釣魚。Google 截稿前未公開回應，商店治理與未上架機制會否調整仍待觀察。Edge／Firefox 亦可能出現類似模式，本報告主軸仍是 Chrome。

結語

當擴充套件不必寫一行攻擊程式碼、只需覆寫預設搜尋並把查詢送進可控代理，瀏覽器設定本身就成了可變現、可升級的攻擊面。Socket 披露的三百一十九個套件與約一千三百四十萬安裝，提醒企業與個人：商店「未上架」加上廣告導流，足以繞過多數使用者的直覺防禦。若貴機構需要在香港檢視終端與瀏覽器基線、零信任存取或雲端遷移中的網絡安全加固，可參考 YSK Limited 的香港雲端遷移與網絡安全服務（https://ysk.hk/services/cloud-security）。

參考來源

Related services & products

Related posts