乐于分享
好东西不私藏
夜雨聆风 > > 办公文件 > 80万用户中招:ModHeader插件供应链攻击案例,附自查修复方案

80万用户中招:ModHeader插件供应链攻击案例,附自查修复方案

当前时间： 2026-08-17 18:07:02 分类：办公文件 评论(0)
80万用户中招:ModHeader插件供应链攻击案例,附自查修复方案
Ima知识库名称
加入条件

潇湘信安协同知识库（更新~ing!）

限时免费

潇湘信安学习资料库（更新~ing!）

≥3年粉丝

潇湘信安内部知识库（更新~ing!）

星球成员

最近看到Hackindex曝出ModHeader这个Chrome扩展程序包含恶意软件，前段时间我还安装分享过这个插件...，圈内有不少师傅也在用这插件，有安装过的师傅还请及时清理...。

这里主要是提醒下大家，详细技术分析请看原文：

https://hackindex.io/research/modheader-malware-chrome-spyware

前言

近日安全研究团队曝光重大浏览器插件供应链风险：Chrome 应用商店官方上架的 ModHeader v7.0.18 版本内置完整窃密 SDK，谷歌已主动下架该版本并自动禁用用户设备内插件，超 80 万安装用户面临浏览记录泄露风险。

ModHeader 是前端、测试、安全、运维人群高频使用的工具，核心功能是全局修改网站 HTTP 请求 / 响应头，为实现功能，插件默认申请全网站访问、网络请求监听、页面脚本注入等高风险权限，一旦植入恶意代码，可完整监控全部上网行为。

一、恶意代码藏在哪？用伪装完美绕过商店审核

本次恶意载荷采用极具欺骗性的隐藏手段，普通开发者浏览代码完全无法分辨：
1、伪装成通用日期库 dayjs.min-*.js
恶意窃取逻辑全部封装在名为dayjs.min-6a736ee8.js的文件中，对外导出看似工具函数，实际全部为窃密配套逻辑：提取访问域名、判断浏览器类型、定时休眠、生成追踪指纹。审核人员扫一眼文件名会默认是第三方开源依赖，直接忽略内部恶意代码。
2、官方正版签名，无盗版篡改
涉事插件 ID：idgpnmonknjnojddfkpgkljpfnnfcklj，是商店原版 ModHeader 标识，文件携带谷歌商店官方签名，并非第三方修改盗版，属于典型供应链投毒。
二、完整窃密流程：加密收集访问域名，定时回传境外伪装服务器

恶意代码内置一套完整、成熟的数据窃取链路，全程做 AES-GCM 加密混淆规避网络抓包检测：

1. 采集用户浏览域名

用户打开任意网站时，插件自动提取网站域名，加密后存入本地数据库，统计每个站点访问频次；仅采集域名，不会抓取完整 URL、Cookie 与账号密码。

2. 生成永久设备追踪指纹

基于时间哈希生成唯一设备标识，代码内置中文盐值mod盐header，用于长期标记同一台设备，持续追踪用户上网习惯。

3. 错峰定时上传，规避流量监测

插件会根据设备指纹计算专属上传时段（早 7 点至 15 点随机时间），每日仅上传一次加密数据，批量受害者上传时间分散，很难通过流量审计批量发现异常。

4. 假学术站点做数据接收服务器

窃取数据统一 POST 上传至 https://api.stanfordstudies.com/app/log：

  • 前端页面伪装成 “斯坦福学术研究项目”，和斯坦福大学无任何关联；
  • 域名托管 AWS 美国服务器，使用飞书 Lark 企业邮箱，代码内嵌中文字符，多处线索指向中文运营者；
  • 仅单向接收数据，无远程指令下发通道，无法远程控制浏览器。

三、关键细节：当前版本窃取功能处于休眠，但风险极高

本次被下架的 v7.0.18 版本中，窃取代码内置空浏览器白名单开关$w = []，默认拦截上传逻辑，在逆向测试环境中并未产生数据外发记录。

但风险不能忽视：

  1. 攻击者只需推送新版更新、修改白名单，即可一键激活全网 80 万设备的窃密功能；
  2. 插件自带本地存储，会缓存所有页面完整请求/响应头，本次测试环境缓存数据高达 178MB，头部信息包含登录 Token、会话 Cookie、内网地址等敏感数据，长期留存本地存在泄露隐患。

四、该插件不会执行的高危操作

  1. 无远程代码执行逻辑，不存在 eval、动态加载外部脚本；
  2. 不会窃取账号密码、完整页面内容，上传仅包含域名、浏览器类型、设备指纹；
  3. Cookie 仅读取长度用于本地统计，不会上传 Cookie 明文。

五、个人用户完整清理步骤

1. 打开 Chrome 扩展管理，确认 ModHeader 已被浏览器自动禁用，直接卸载插件；
2. 删除本地残留存储目录（Mac、Windows路径）：
Mac路径：~/Library/Application Support/Google/Chrome/Profile 1/Extensions/idgpnmonknjnojddfkpgkljpfnnfckljWindows路径：C:\Users\username\AppData\Local\Google\Chrome\User Data\Default\Extensions\idgpnmonknjnojddfkpgkljpfnnfckljC:\Users\username\AppData\Local\Google\Chrome\User Data\Default\Sync Extension Settings\idgpnmonknjnojddfkpgkljpfnnfckljC:\Users\username\AppData\Local\Google\Chrome\User Data\Default\Managed Extension Settings\idgpnmonknjnojddfkpgkljpfnnfckljC:\Users\username\AppData\Local\Google\Chrome\User Data\Default\Local Extension Settings\idgpnmonknjnojddfkpgkljpfnnfckljC:\Users\username\AppData\Local\Google\Chrome\User Data\Default\IndexedDB\chrome-extension_idgpnmonknjnojddfkpgkljpfnnfcklj_0.indexeddb.leveldb
同步清理 IndexedDB、本地扩展设置、同步缓存文件夹；
3. 本地 DNS 屏蔽恶意域名：api.stanfordstudies.com；
4. 如需修改 HTTP 请求头，更换其他无风险同类工具，切勿重新安装 ModHeader。
六、企业运维/安全团队检测狩猎规则
批量排查终端 Chrome 扩展，命中以下 IOC 即可判定风险：

网络 IOC

api.stanfordstudies.com 对外POST请求/app/log
扩展特征
插件ID：idgpnmonknjnojddfkpgkljpfnnfcklj版本号：7.0.18恶意文件：dayjs.min-6a736ee8.js、background-94ad634d.js
静态特征字符串
硬编码AES密钥：aWfU3yG_wksZaQdSnxPJBOId0cAN8KK/UIlZbli7-bE指纹盐值：mod盐header

七、安全总结与长期防护建议

  1. 开发调试类插件权限极高（全网站、网络监听），非必要不安装；
  2. 定期清理长期不用的浏览器扩展，定期查看商店插件评分与最新评论；
  3. 企业环境限制员工私自安装第三方扩展，开启浏览器扩展管控；
  4. 警惕使用名校、官方机构名称伪装的陌生域名，此类多为恶意数据接收站点；
  5. 关注插件更新动态，商店突然下架、强制禁用的扩展第一时间卸载清理缓存。

关注我们

 还在等什么？赶紧点击下方名片开始学习吧 

知 识 星 球

星球已过800人，暂不再发放优惠券，如还有需要的师傅可加我VX：S_3had0w，等你一起来学习...！
Ima知识库名称
加入条件

潇湘信安协同知识库（更新~ing!）

限时免费

潇湘信安学习资料库（更新~ing!）

≥3年粉丝

潇湘信安内部知识库（更新~ing!）

星球成员

推 荐 阅 读