0x00 插件背景

—

User-Agent Swither 是一款Chrome插件，用户切换访问web时候的User-Agent的，这个插件有51万条安装量。大部分都是前端工作人员或者安全研究人员使用，需要频繁切换User-Agent。

然而，在v2ex上有人发了这么一篇文章 https://www.v2ex.com/t/389340?from=timeline

0x01 插件分析

—

通常，chrome插件的物理地址 C:UsersadminAppDataLocalGoogleChromeUser DataDefaultExtensionsffhkkpnppgnfaobgihpdblnhmmbodake
打开background.js，看这个js文件的第80行

格式化后可以看出，这段js从 promo.jpg 图片中取数据。下图为这段js代码解析出来的后门js代码。

随后跳转到从图片中解析出来的javascript代码

代码抠出来是这样的

很明显，这段js代码是经过深度混淆过的。

然后，通过 document.defaultView 的方式来执行从图片解析出来的javascript代码。

下面需要几个知识

1. javascript 中这两种调用方法是一样的。chrome.runtime.onMessage和chrome["runtime"]["onMessage"]

2. => 这个符号是ES6的特性，代表匿名ES函数

3.Promise为承诺，ES6的新特性已经被大多数

0x02 恶意JavaScript分析

—

这段javascript用了大量的Promise对象，用了大量的 => 这样的匿名函数，函数名用了 "x63x6fx64x65" 这种ascii码的16进制作为函数名，且使用了 chrome["runtime"]["onMessage"] 这种调用的方式。

首先 _0x2126 是一个字符串数组，数组内的数据在之后的js代码中被大量引用作为函数名。不过这个数组在 function t 函数中被重新排序了，排序后的

这个数组中的数据在之后被作为函数名来调用相关的函数。_0x1838('0x30') 其实就是取 _0x2126 中第0x30个元素，也就是 local 。

function t 就是用来对 _0x2126 这个list进行重新排序的函数

function e 主要作用是post数据，更新执行的步骤

比如，恶意js在init的时候，此时发送的请求如下

响应的请求

function n 主要是完成了一个xhr请求，通过 executeScript 来完成。

function o 用于解析返回的js代码，取出其中的code和version字段，并通过l.set方法持久化存储到本地。

function a 更新插件运行状态

function i 为入口函数

function r 是用来下载执行恶意JS

这段js里面有一个比较重要的变量c

还有一个重要的l，l包含了四个函数 EE , get , set , Yj

function EE

function get 用于从存储的文件中取数据

function set 用于将数据写入到存储文件中

function yJ

这段恶意js的执行流程如下：

这段恶意js的入口函数为function i，随后function i首先会向https://the-extension.com/stats?hash=jwtmv6kavksy5cazdf4leg66r&eventCategory=eval&eventAction=init&eventLabel=更新运行状态

随后会调用function r，这个函数完成了下载恶意js并持久化存储到本地并执行的功能。

此时向n函数中传递的参数为"https://the-extension.com/?hash=jwtmv6kavksy5cazdf4leg66r"和GET，也就是用GET请求获取这个网页的内容。

下载下来的东西保存在了这里

外部的恶意js地址https://the-extension.com/?hash=jwtmv6kavksy5cazdf4leg66r，返回的json{"code":"evil javascript","version":"v20170905"}由于篇幅有限，我们把恶意的javascript省去，可以关注我们的官方博客获取详细的代码。可见这段恶意代码的版本为v20170905