谷歌 Chrome 将拦截篡改“新标签页”的恶意扩展程序

谷歌正在为 Chrome 浏览器开发一项全新的安全功能。该功能将拦截通过浏览器策略强制安装的扩展程序，如果这些程序试图篡改浏览器的“新标签页”或默认搜索引擎。这项安全保护主要针对 Windows 和 macOS 系统的个人电脑，旨在防范恶意软件伪造企业策略进行的攻击。

这项新功能是在 Chromium Gerrit 代码库的一系列更新中被发现的。目前该功能仍处于开发阶段，但在相关代码获批后，谷歌计划将其设为默认开启。

谷歌员工阿努诺伊·戈什（Anunoy Ghosh）对此解释道：“在不受企业管控的普通个人设备上，攻击者经常利用企业策略来强制安装或推荐恶意软件。这使得那些篡改搜索引擎或新标签页的扩展程序得以被强行植入。”

此次更新默认启用了 kBlockDseNtpOverrideExtensionsOnUnmanagedDevices 功能，旨在为不受管控的 Windows 和 macOS 设备提供全面的安全防护。

通常情况下，组织可以通过 Chrome 企业版策略强制安装扩展程序并修改浏览器设置。对于接入域控或移动设备管理（MDM）系统的工作设备而言，这是正常的管理机制。然而，恶意软件也利用了这一机制，在普通家用电脑上实施攻击。

恶意软件可以在未经用户允许的情况下，向本地写入 Chrome 策略键值并强制安装扩展程序。这类程序能够替换新标签页、更改默认搜索引擎，甚至将用户的搜索请求重定向至可疑网站。

在此情况下，Chrome 可能会误认为该扩展程序是由系统管理员安装的。因此，用户将无法自行禁用或删除它。在某些情况下，浏览器甚至会显示“由贵单位管理”的提示，尽管该电脑实际上并不属于任何公司，也未接入企业管控系统。

谷歌将这类设备定义为“低信任环境”。Chrome 虽然能读取本地的策略配置，但无法通过域控或 MDM 服务等可信来源验证其真实性。

全面封堵恶意劫持漏洞

启用新防护后，Chrome 将直接拦截那些试图修改新标签页或默认搜索引擎的受策略管控扩展程序。浏览器不仅会取消安装，还会将该扩展程序的 ID 加入黑名单。在后续的策略检查中，浏览器也不会再尝试重新加载该程序，这不仅能防止恶意软件反复尝试安装，还能减少不必要的网络活动。

此外，谷歌还封堵了另一个劫持漏洞：用户手动安装的扩展程序将不再被恶意转化为受策略管控的锁定程序。该扩展程序的控制权仍将保留在用户手中，用户可以随时将其禁用或删除。

如果一台原本受管控的设备失去了可信状态，但本地仍残留策略键值，Chrome 将自动清除那些篡改新标签页或搜索引擎的扩展程序。

为了评估此类恶意扩展的泛滥程度以及 Chrome 的拦截频率，谷歌还将引入相关的数据统计机制。

考虑到部分企业确实存在修改新标签页或搜索引擎的合理需求，谷歌还将为企业管理员提供一个专属的例外策略，允许他们在必要时关闭此项安全保护。

目前，Gerrit 上的相关代码更改仍在审核中，这项新功能尚未在 Chrome 的正式稳定版中上线。