部分Chrome扩展正在滥用Google糟糕的安全政策 以在搜索结果中靠前

Chrome Web Store（CWS）为扩展程序开发人员提供了大量工具来发布和推广他们的作品。然而，它不应该允许滥用这些工具为作者提供操纵策略，在意想不到或不适当的环境中推广扩展程序。

尽管强制过渡到 Manifest V3，但 Chrome 扩展程序仍然像以往一样充满了危险和恶意。恶意开发人员可以将他们的作品伪装成仍然使用旧版 Manifest V2 技术的合法扩展程序，或者利用 Chrome Web Store的翻译系统出现在 Chrome 用户的不相关搜索结果中。

安全研究员 Wladimir Palant 最近发现了这一最新策略，他在一篇令人大开眼界的帖子中详细介绍了他的发现。在 Chrome Web Store搜索“Norton Password Manager”扩展程序时，Palant 遇到了许多看似不相关的结果。经过调查，他发现了一个巧妙的操纵活动，积极推动用户安装低质量甚至恶意的代码。

Palant 发现的核心问题在于 Chrome Web Store如何管理翻译和相关元数据。 Chrome Web Store 的官方政策明确禁止搜索结果操纵，但数百个扩展程序却公然违反这些规则，以获得不应有的曝光度和推广。

据 Palant 称，一些开发人员发现 Chrome Web Store 搜索索引在所有语言中共享。这使他们能够通过在不太流行的语言中嵌入包含关键字的文本来“牺牲”描述。当用户搜索 CWS 时，这些关键字会提高恶意扩展程序的曝光度，即使这些扩展程序被编程为执行完全不相关的功能。

Palant 发现 920 个 Chrome 扩展程序利用这种恶意技术来操纵 CWS 搜索结果。这些扩展程序可以追溯到几个“集群”，表明它们很可能是由一小群熟悉搜索操纵技巧的开发人员创建的。

研究人员向 Google 报告了此问题，强调这似乎是一起操纵 Chrome Web Store 搜索系统的协同行动。Palant 指出，Google 早在一年前就已收到关键字垃圾邮件行为的警告，但有问题的扩展程序仍然活跃。Palant 说，Google 要么没有注意到，要么根本不在乎。