Socket 曝光 77 款 Firefox 恶意插件：伪装比分工具，窃取凭据、剪贴板与钱包信息

据 IT之家 8 月 27 日消息，安全公司 Socket 发文披露了一批针对 Firefox 火狐浏览器用户的恶意插件，共涉及 77 款。来源显示，这些插件包含高度相似的代码特征，安全研究人员判断其很可能来自同一批攻击者。相关插件主要伪装成体育赛事实时比分工具，借助球迷用户对赛况信息的需求诱导下载安装。Mozilla 在收到 Socket 通报后，已经下架其中部分插件。

浏览器插件长期是提升网页效率和个性化体验的重要工具，但它同时拥有读取网页、访问剪贴板、处理输入内容等潜在高权限能力。一旦插件被恶意开发者利用，风险可能从广告劫持扩展到凭据盗取、加密资产篡改，甚至远程控制设备。此次事件再次提醒用户：浏览器扩展并不只是“小工具”，它可能成为账号与设备安全的入口。

77 款插件被指代码雷同，部分具备凭据窃取能力

Socket 的进一步调查显示，在这批 77 款恶意 Firefox 插件中，有 40 款可窃取用户设备上的各类凭据信息。这类信息通常与账号登录、会话状态、身份验证相关，一旦泄露，可能导致邮箱、社交平台、云服务或其他在线账户面临被接管风险。

更值得关注的是，来源提到其中还有 13 款插件能够篡改受害者设备上的加密货币钱包代码，5 款可窃取用户剪贴板内容，7 款可在受害者设备上建立远程控制连接。对普通用户来说，剪贴板风险常常被低估：复制密码、验证码、钱包地址、API Key 或内部链接时，恶意插件可能在后台读取相关内容。对于加密资产用户而言，钱包地址被替换或代码被篡改，则可能直接造成资产损失。

• 40 款插件被指可窃取各类凭据信息；
• 13 款插件可篡改加密货币钱包相关代码；
• 5 款插件可读取用户剪贴板内容；
• 7 款插件可建立远程控制连接；
• 插件主要伪装为体育赛事实时比分工具，面向球迷用户传播。

为何“比分插件”会成为攻击伪装

从攻击路径看，体育比分工具具有几个典型优势：用户安装动机明确、使用场景高频、对品牌来源的辨别门槛较低。赛事期间，用户可能为了快速查看比分、赛程或提醒功能安装插件，而忽略权限申请和开发者信息。恶意开发者正是利用这种即时需求，将风险包装成看似无害的工具。

浏览器扩展生态的安全问题并不新鲜。与独立软件相比，插件通常体积小、功能描述简单，用户安装成本极低；但从权限角度看，部分插件可能读取访问页面内容、修改网页行为、监听剪贴板或与远程服务器通信。如果审核、用户判断和后续监测中任何一环出现漏洞，恶意插件就可能获得较长的潜伏窗口。

影响与解读：AI 时代的浏览器安全边界正在扩大

对中文科技用户而言，这起事件的意义不只在 Firefox。随着 AI 搜索、网页总结、自动填表、密码管理、代码辅助等功能不断进入浏览器，扩展程序正在成为连接个人数据、企业系统与在线服务的重要层。未来，插件不仅可能接触账号密码，还可能接触 AI 对话记录、企业知识库内容、网页自动化流程和开发者密钥。

因此，插件安全已经从个人隐私问题，扩展为软件供应链与工作流安全问题。对于依赖浏览器办公的用户，尤其是开发者、运营人员、加密资产用户和企业员工，应当定期检查扩展列表，移除长期不用、来源不明或权限异常的插件。安装前也应关注开发者身份、用户评价、更新记录以及请求权限是否与功能相匹配。

Mozilla 已在收到通报后下架部分插件，但这并不意味着风险已经完全消失。用户仍需要主动排查本地已安装扩展，并在必要时修改重要账号密码、检查钱包地址与授权记录。在浏览器成为 AI 与自动化入口的当下，插件权限管理将越来越接近“终端安全”的核心环节。