恶意扩展、恶意插件周知： baidudl

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

这是一个创建于 2395 天前的主题，其中的信息可能已经有所发展或是发生改变。

一直听说 Chrome Store 有很多恶意扩展，前些日子看到一条语气十分营销的微博分享了一个百度云盘下载的扩展，就注意了一下。今天翻出来看了一下，果然是个恶意扩展（扩展已举报），会上报 Facebook 账号 token 到 s.truepush.com 。

微博是这条：
https://weibo.com/5671448988/GcI1uqPK4
http://webcache.googleusercontent.com/search?q=cache:https://weibo.com/5671448988/GcI1uqPK4
转发 2500 次

原文是这个：
https://www.jianshu.com/p/179164b4825e
https://web.archive.org/web/20171024200704/https://www.jianshu.com/p/179164b4825e
阅读 13308 评论 1 喜欢 18

恶意扩展叫 baidudl： https://chrome.google.com/webstore/detail/baidudl/mccebkegnopjehbdbjbepjkoefnlkhef

原作者的扩展叫 baidu-dl （没有与 Facebook 相关的恶意代码）： https://chrome.google.com/webstore/detail/baidu-dl/lflnkcmjnhfedgibjackiibmcdnnoadb

第 1 条附言 · 2018-05-08 12:36:52 +08:00

根据小众软件后续调查，在原作者 GitHub 历史提交记录中发现了恶意插件地址。

详见： https://www.appinn.com/baidudl-for-chrome/

第 2 条附言 · 2018-05-08 16:51:41 +08:00

#39 @Devilker 转载了原作者的声明：
> ---转帖
>
>
>
> 我曾在吾爱破解中发布过一个帖子介绍了我写的一个 chrome 插件 baidudl
> 然而早在今年 1 月我就失去了对这个插件在 chrome 商城上的控制。
>
> 后来我重新上传了一个新的插件到 chrome 商城上
>
> 原本想在吾爱中直接更新链接。然而发现超过半年的帖子不能编辑。
>
> 今天原来的那个插件被爆出已经变成了恶意插件。
> 如果有任何人是从 chrome 商城下载的。请立即卸载。
> 如果是从吾爱或者 github 上下载的打包文件，请放心使用。
>
> 对吾爱不是很熟悉，想问一下如何才能删除或者编辑已过期的帖子。因为那个帖子现在被很多专辑推荐了。担心更多人上当。
>
> 对我个人的失误我表示道歉。

另外 Github issues 上也有原作者的解释： https://github.com/Kyle-Kyle/baidudl/issues/96#issuecomment-387307026

第 3 条附言 · 2018-05-08 23:44:22 +08:00

小众软件《百度盘高速下载扩展 baidu-dl 开发者声明以及恶意扩展 baidudl 的一些疑问》： https://www.appinn.com/new-baidu-dl-announce/amp/

扩展

恶意

baidudl

Facebook

42 条回复

baozijianke

2018-05-08 00:21:20 +08:00

卧槽，我也上当了。

itzamana

2018-05-08 00:29:09 +08:00

卧槽, 一直以为评价多的那个才是正品...感谢告知

Love4Taylor

2018-05-08 00:48:23 +08:00

woc 中招了

orangeade

2018-05-08 00:51:39 +08:00 via Android

卧槽

Jackp12

2018-05-08 01:52:51 +08:00 via Android

😤中招+1，不过我是在小众软件上看到的，好像是小众首发的？ https://www.appinn.com/baidudl-for-chrome/

ynyounuo

2018-05-08 05:16:26 +08:00

累比参考：
/t/434369

input2output

2018-05-08 05:33:51 +08:00 via Android

幸好没用的时候禁用了

rabbbit

2018-05-08 07:21:44 +08:00

连个混淆都没有,正大光明的放在目录底下,居然才被发现

lovestudykid

2018-05-08 08:04:16 +08:00

原作者有点奇怪啊，Github 上叫 baidudl，chrome store 登记的却是 baidu-dl，他应该完全知情有个假冒的，但为什么没有举报呢？

codehz

2018-05-08 08:07:02 +08:00 via Android

@lovestudykid 也许真的是不知道呢。。。

sonyxperia

2018-05-08 08:26:37 +08:00

中招了。

fqwerl

2018-05-08 09:03:14 +08:00 via Android

在 Chrome store 上举报！

SsuchingYu

2018-05-08 09:17:34 +08:00 via Android

举报....话说百度云盘没啥用....

SsuchingYu

2018-05-08 09:19:09 +08:00 via Android

已举报，话说三百多五星是刷出来的？

Barca

2018-05-08 09:21:15 +08:00

马克

AASW2ss

2018-05-08 09:22:52 +08:00

中招了，还用了那么久

hcwhan

2018-05-08 09:30:58 +08:00 via iPhone

@Jackp12 这个是原版的吧
原版是没问题的 baidu-dl
有问题的是山寨的 baidudl

楼主最好 apped 一下感觉都没注意都最后一句话

Jackp12

2018-05-08 10:48:28 +08:00 via Android

@hcwhan 昨晚还不是，chrome 那个链接也是 baidudl，没存档。。。今天换掉的？？

Jackp12

2018-05-08 10:56:24 +08:00 via Android

@hcwhan 又看了下，确实换了，原来标题都叫 baidudl，现在都换成 baidu-dl 了，一声不吭直接换掉不给老用户声明下真的好吗😤，好气啊一直很吃小众安利的

Jackp12

2018-05-08 11:13:53 +08:00

@hcwhan #17 找到存档了，https://web.archive.org/web/20180224230857/https://www.appinn.com/baidudl-for-chrome/

kpeaker

2018-05-08 11:17:37 +08:00 via Android

@Jackp12 你这个是真的没-的是假的

kpeaker

2018-05-08 11:20:39 +08:00 via Android

好吧楼上发了

misaka19000

2018-05-08 11:24:03 +08:00

@lovestudykid #9 这个论调有点诛心了，但是说不定这个山寨扩展是作者自己开发的呢？

wekw

2018-05-08 11:33:23 +08:00

小众软件，卒

hcwhan

2018-05-08 12:57:39 +08:00 via iPhone

@misaka19000 github 上记录有山寨的地址感觉有可能

jasonyang9

2018-05-08 13:08:23 +08:00

青小蛙出来扫地了

yksoft1

2018-05-08 13:13:38 +08:00

还好只是盗 fb 的 oauth。说不定还有其他盗国内的 token 的扩展存在。

wm5d8b

2018-05-08 13:19:39 +08:00 via Android

那么被盗后如何修改 token 呢

banewu

2018-05-08 13:40:01 +08:00 via iPhone

还好用的原版

AdamChrist

2018-05-08 14:06:16 +08:00

好像最开始是叫 baidudl,后来不知道为什么改成了 baidu-dl

Love4Taylor

2018-05-08 14:09:11 +08:00 via Android

啧作者这个回复有意思

zanewayne

2018-05-08 14:29:22 +08:00

看 GitHub 历史记录就是作者自己，不出来解释下

slime7

2018-05-08 15:13:14 +08:00

卧槽装了 baidudl，还好没用 fb，这就去换。

zen9073

2018-05-08 15:13:41 +08:00

昨天还用了，
下载 ww s2e2，
还好我没 fb，

zhtw2013

2018-05-08 15:28:19 +08:00

@zanewayne
我到 Github 質問作者了。

https://github.com/Kyle-Kyle/baidudl/issues/96#issuecomment-387306253

siriusVtoEX

2018-05-08 15:38:59 +08:00

https://github.com/Kyle-Kyle/baidudl/issues/85
这里看，至少能得到两点，1:作者 3.23 之前就无法控制原帐号&扩展； 2:作者承认维护过原扩展。
如果 1 为真，就看原扩展的恶意代码是什么时候加入的。不知道谁那有历史版本。

corcd

2018-05-08 15:44:47 +08:00

很早就下载了，不过还好一直没用过，都在用 BaiduExporter

xhf3894

2018-05-08 16:08:31 +08:00

我在 chrome 商店里面举报了，留了一星差评，希望装这个的人能看得见吧。

Devilker

2018-05-08 16:36:55 +08:00

---转帖

我曾在吾爱破解中发布过一个帖子介绍了我写的一个 chrome 插件 baidudl
然而早在今年 1 月我就失去了对这个插件在 chrome 商城上的控制。

后来我重新上传了一个新的插件到 chrome 商城上
https://chrome.google.com/websto ... bmcdnnoadb?hl=en-GB

原本想在吾爱中直接更新链接。然而发现超过半年的帖子不能编辑。

今天原来的那个插件被爆出已经变成了恶意插件。
如果有任何人是从 chrome 商城下载的。请立即卸载。
如果是从吾爱或者 github 上下载的打包文件，请放心使用。

对吾爱不是很熟悉，想问一下如何才能删除或者编辑已过期的帖子。因为那个帖子现在被很多专辑推荐了。担心更多人上当。

对我个人的失误我表示道歉。

wdy3334

2018-05-08 16:48:31 +08:00

中招了，不过没怎么用，一直躺在禁用列表

byuc

2018-05-08 18:08:38 +08:00

一直在用这个： https://github.com/cloudroc/baidu-nolimit。也是百度下载的扩展，比较安静。
有点欣慰。

Admstor

2018-05-08 20:35:11 +08:00

感谢提醒
我说前段时间更新突然提出新的权限要求