---
title: 【更新来自 WeTab 的回应】潜伏 8 年，430万次安装！一批浏览器恶意扩展，终于被曝光
date: 2025-12-03T11:54:37Z
modified: 2025-12-04T07:29:22Z
permalink: "https://www.appinn.com/shadypanda-8-year-campaign/"
type: post
status: publish
excerpt: ""
categories:
  - 业界消息
tags:
  - 业界消息
  - 恶意扩展
featured_image: "https://www.appinn.com/wp-content/uploads/2025/12/Copy-of-appinn-homework-67.jpg"
author: 青小蛙
timestamp: 2025-12-04T07:29:22Z
---

## 收到来自 WeTab 与 Infinity 开发团队的回应

您好，这里是 WeTab 与 Infinity 开发团队：

1.文中引用的所谓“安全报告”来自英国安全团队 Koi 及部分第三方论坛网友的推测，均未经过证实，缺乏可信度。

2.WeTab 团队已公开发布声明澄清此事，你方名下公众号及网站文章标题及正文中提及“400 多万用户”的 Infinity 新标签页与 WeTab AI 标签页均不存在恶意行为，且国内第三方安全团队已证实此点。原安全报告文中其他可能含恶意程序的扩展与 WeTab 团队无任何关联。文章多次引用“430 万用户数据”等表述，属于严重错误与主观臆测。

3.原安全报告中重点质疑 WeTab 的所谓“全面数据收集”行为，声称 WeTab “将大量用户数据发送至 17 个不同域名”，并附有一段代码截图。但该段代码经核查实际来源为业界常用的百度统计，与恶意行为无关。

4.原安全报告中提到名为 “Infinity V+” 的扩展，并将其与 WeTab 团队运营的 Infinity 新标签页混为一谈。经查，“Infinity V+” 为十余年前的旧插件，早已下架，用户数不详；此外，在火狐商店中也存在大量 Infinity 山寨版本，上述产品均与 WeTab 团队无任何关系。

5.外媒原文将所谓恶意程序命名为 “ShadyPanda”（意为“阴暗的熊猫”），在涉事插件多达百款，且尚未明确其真实来源的情况下，将该恶意程序强行与中国关联，意有所指。此外，该团队将行业内普遍使用的百度统计认定为“窃取用户数据”的证据，进一步反映其所谓“安全报告”的专业性与可靠性值得质疑。

6.上述文章及引用内容均包含大量未经证实的消息。一些国内自媒体未经核实即大范围传播，并添加夸张及严重的描述，造成了对 WeTab / Infinity 的恶劣舆论影响。

---

过去很长时间以来，我们都习惯了把注意力放在**手机 App 权限**、**AI 隐私**、**大公司数据泄露**等安全事件上，却常常忘了：**每天打开浏览器时，那些静静躺在角落里的扩展，也可能是最危险的入口。**

就在2025年12月1日，全球知名的网络安全媒体 **BleepingComputer** 发布了一篇文章《[ShadyPanda 浏览器扩展程序在恶意活动中累计安装量达 430 万次](https://www.bleepingcomputer.com/news/security/shadypanda-browser-extensions-amass-43m-installs-in-malicious-campaign/)》，根据 KOI [《4.3 Million Browsers Infected: Inside ShadyPanda’s 7-Year Malware Campaign](https://www.koi.ai/blog/4-million-browsers-infected-inside-shadypanda-7-year-malware-campaign)》的研究，揭露了一批恶意浏览器扩展，长达8年时间，累计安装有 **430 万次**。它们从外表上看毫无异常：评分高、装的人多、评论也不差。

这些恶意扩展一直在悄悄做一件事：收集用户行为、操控浏览器、注入广告、劫持访问路径，甚至疑似与黑产存在关联。

![](https://www.appinn.com/wp-content/uploads/2025/12/Copy-of-appinn-homework-67.jpg)

## 目录

- [收到来自 WeTab 与 Infinity 开发团队的回应](#收到来自-we-tab-与-infinity-开发团队的回应)
- [ShadyPanda 的恶意扩展](#shady-panda-的恶意扩展)
- [恶意扩展都做了什么？](#恶意扩展都做了什么？)
    - [攻击还在进行中](#攻击还在进行中)
- [为什么能存在8年之久？](#为什么它们能存在这么久？)
- [现状如何？](#现状如何？)
- [所有有关恶意扩展 ID 完整列表](#所有)



## ShadyPanda 的恶意扩展

根据 BleepingComputer 的报告，这个名为 **ShadyPanda** 组织，多年来共运营了 **145** 个恶意扩展（20 个 Chrome 扩展和 125 个 Edge 扩展）。

这些扩展并不会在开始的时候就出现问题，而是在长期更新的过程中，通过逐渐索要权限、暗中注入代码的方式，逐步转变成恶意工具。

## 恶意扩展都做了什么？

这些扩展会在用户毫无察觉的情况下执行一系列操作，包括：

- 悄悄收集浏览行为、搜索记录等敏感数据
- 重定向访问链接，在网页中插入推广参数
- 劫持部分网站访问路径，影响用户看到的内容
- 远程加载脚本，使扩展功能可以被攻击者随时控制

具体来说，这些扩展程序将 eBay、Booking.com 和亚马逊的跟踪代码注入合法链接，从事联盟营销欺诈，从用户的购买行为中获得收入。

2024 年初，一款名为 Infinity V+ 的扩展程序开始执行搜索劫持，它们将搜索查询重定向到 trovi\[.\]com，将用户的 cookie 泄露到 dergoodting\[.\]com，并将用户的搜索查询泄露到 gotocdn 子域。

2024 年，该系列中的五个扩展程序被修改，加入了通过更新提供的“后门”，使它们能够执行远程代码。

每个受感染的浏览器都会运行一个远程代码执行框架。它每小时都会检查 api.extensionplay\[.\]com 是否有新的指令，下载任意的 JavaScript 代码，并以完整的浏览器 API 访问权限执行它。

![](https://www.appinn.com/wp-content/uploads/2025/12/Screen-20251203173836@2x.avif)

该后门还会使用 AES 加密将浏览 URL、指纹信息和持久标识符泄露到 api\[.\]cleanmasters\[.\]store。

![](https://www.appinn.com/wp-content/uploads/2025/12/cleanmaseter.avif)

安装量超过30万的 Clean Master 扩展程序

在应用商店中，包含“精选”和“已验证”标识的 Clean Master 在内的五个扩展程序，在合法运行多年后，于 2024 年年中被恶意利用。这些扩展程序现在每小时执行一次远程代码——下载并执行任意 JavaScript 代码，并拥有完整的浏览器访问权限。

### 攻击还在进行中

**目前攻击仍在进行中**，该阶段涉及 “Starlab Technology” 于 2023 年发布的五款 Microsoft Edge 扩展程序。自那时以来，这些扩展程序已累计安装了 400 万次。

- Browsing history 浏览历史记录
- 搜索查询和按键操作
- 带有坐标的鼠标点击
- Fingerprint data 指纹数据
- 本地/会话存储和 Cookie

## 为什么能存在8年之久？

主要原因是这些行为本身并不显眼，很难让用户察觉。

尤其当用户信任这款浏览器扩展的时候，浏览器还会自动更新这些扩展。于是一款原本没有问题的扩展，在某次更新之后，就变成了恶意扩展。

就这样，持续了8年之久。

## 现状如何？

研究人员联系了 Google 和 Microsoft，已经从商店下架了这些恶意扩展。

在 BleepingComputer 的原文中，还出现了从 Google Play 下架恶意应用的描述。这是因为 ShadyPanda 并非只针对浏览器扩展，它是一个跨平台的黑产组织，同时在 Chrome Web Store、Edge Add-ons 以及 Google Play 上投放恶意软件。

## 所有有关恶意扩展 ID 完整列表

最后，Koi 还附上了所有与 ShadyPanda 行动相关的扩展 ID 的完整列表：

C&C Domains:

- extensionplay\[.\]com
- yearnnewtab\[.\]com
- api.cgatgpt\[.\]net

Exfiltrations Domains:

- dergoodting\[.\]com
- yearnnewtab\[.\]com
- cleanmasters\[.\]store
- s-85283.gotocdn\[.\]com
- s-82923.gotocdn\[.\]com

Chrome Extensions:

- eagiakjmjnblliacokhcalebgnhellfi
- ibiejjpajlfljcgjndbonclhcbdcamai
- ogjneoecnllmjcegcfpaamfpbiaaiekh
- jbnopeoocgbmnochaadfnhiiimfpbpmf
- cdgonefipacceedbkflolomdegncceid
- gipnpcencdgljnaecpekokmpgnhgpela
- bpgaffohfacaamplbbojgbiicfgedmoi
- ineempkjpmbdejmdgienaphomigjjiej
- nnnklgkfdfbdijeeglhjfleaoagiagig
- Mljmfnkjmcdmongjnnnbbnajjdbojoci
- llkncpcdceadgibhbedecmkencokjajg
- nmfbniajnpceakchicdhfofoejhgjefb
- ijcpbhmpbaafndchbjdjchogaogelnjl
- olaahjgjlhoehkpemnfognpgmkbedodk
- gnhgdhlkojnlgljamagoigaabdmfhfeg
- cihbmmokhmieaidfgamioabhhkggnehm
- lehjnmndiohfaphecnjhopgookigekdk
- hlcjkaoneihodfmonjnlnnfpdcopgfjk
- hmhifpbclhgklaaepgbabgcpfgidkoei
- lnlononncfdnhdfmgpkdfoibmfdehfoj
- nagbiboibhbjbclhcigklajjdefaiidc
- ofkopmlicnffaiiabnmnaajaimmenkjn
- ocffbdeldlbilgegmifiakciiicnoaeo
- eaokmbopbenbmgegkmoiogmpejlaikea
- lhiehjmkpbhhkfapacaiheolgejcifgd
- ondhgmkgppbdnogfiglikgpdkmkaiggk
- imdgpklnabbkghcbhmkbjbhcomnfdige

Edge Add-ons:

- bpelnogcookhocnaokfpoeinibimbeff
- enkihkfondbngohnmlefmobdgkpmejha
- hajlmbnnniemimmaehcefkamdadpjlfa
- aadnmeanpbokjjahcnikajejglihibpd
- ipnidmjhnoipibbinllilgeohohehabl
- fnnigcfbmghcefaboigkhfimeolhhbcp
- nlcebdoehkdiojeahkofcfnolkleembf
- fhababnomjcnhmobbemagohkldaeicad
- nokknhlkpdfppefncfkdebhgfpfilieo
- ljmcneongnlaecabgneiippeacdoimaa
- onifebiiejdjncjpjnojlebibonmnhog
- dbagndmcddecodlmnlcmhheicgkaglpk
- fmgfcpjmmapcjlknncjgmbolgaecngfo
- kgmlodoegkmpfkbepkfhgeldidodgohd
- hegpgapbnfiibpbkanjemgmdpmmlecbc
- gkanlgbbnncfafkhlchnadcopcgjkfli
- oghgaghnofhhoolfneepjneedejcpiic
- fcidgbgogbfdcgijkcfdjcagmhcelpbc
- nnceocbiolncfljcmajijmeakcdlffnh
- domfmjgbmkckapepjahpedlpdedmckbj
- cbkogccidanmoaicgphipbdofakomlak
- bmlifknbfonkgphkpmkeoahgbhbdhebh
- ghaggkcfafofhcfppignflhlocmcfimd
- hfeialplaojonefabmojhobdmghnjkmf
- boiciofdokedkpmopjnghpkgdakmcpmb
- ibfpbjfnpcgmiggfildbcngccoomddmj
- idjhfmgaddmdojcfmhcjnnbhnhbmhipd
- jhgfinhjcamijjoikplacnfknpchndgb
- cgjgmbppcoolfkbkjhoogdpkboohhgel
- afooldonhjnhddgnfahlepchipjennab
- fkbcbgffcclobgbombinljckbelhnpif
- fpokgjmlcemklhmilomcljolhnbaaajk
- hadkldcldaanpomhhllacdmglkoepaed
- iedkeilnpbkeecjpmkelnglnjpnacnlh
- hjfmkkelabjoojjmjljidocklbibphgl
- dhjmmcjnajkpnbnbpagglbbfpbacoffm
- cgehahdmoijenmnhinajnojmmlnipckl
- fjigdpmfeomndepihcinokhcphdojepm
- chmcepembfffejphepoongapnlchjgil
- googojfbnbhbbnpfpdnffnklipgifngn
- fodcokjckpkfpegbekkiallamhedahjd
- igiakpjhacibmaichhgbagdkjmjbnanl
- omkjakddaeljdfgekdjebbbiboljnalk
- llilhpmmhicmiaoancaafdgganakopfg
- nemkiffjklgaooligallbpmhdmmhepll
- papedehkgfhnagdiempdbhlgcnioofnd
- glfddenhiaacfmhoiebfeljnfkkkmbjb
- pkjfghocapckmendmgdmppjccbplccbg
- gbcjipmcpedgndgdnfofbhgnkmghoamm
- ncapkionddmdmfocnjfcfpnimepibggf
- klggeioacnkkpdcnapgcoicnblliidmf
- klgjbnheihgnmimajhohfcldhfpjnahe
- acogeoajdpgplfhidldckbjkkpgeebod
- ekndlocgcngbpebppapnpalpjfnkoffh
- elckfehnjdbghpoheamjffpdbbogjhie
- dmpceopfiajfdnoiebfankfoabfehdpn
- gpolcigkhldaighngmmmcjldkkiaonbg
- dfakjobhimnibdmkbgpkijoihplhcnil
- hbghbdhfibifdgnbpaogepnkekonkdgc
- fppchnhginnfabgenhihpncnphhafmac
- ghhddclfklljabeodmcejjjlhoaaiban
- bppelgkcnhfkicolffhlkbdghdnjdkhi
- ikgaleggljchgbihlaanjbkekmmgccam
- bdhjinjoglaijpffoamhhnhooeimgoap
- fjioinpkgmlcioajfnncgldldcnabffe
- opncjjhgbllenobgbfjbblhghmdpmpbj
- cbijiaccpnkbdpgbmiiipedpepbhioel
- fbbmnieefocnacnecccgmedmcbhlkcpm
- hmbacpfgehmmoloinfmkgkpjoagiogai
- paghkadkhiladedijgodgghaajppmpcg
- bafbmfpfepdlgnfkgfbobplkkaoakjcl
- kcpkoopmfjhdpgjohcbgkbjpmbjmhgoi
- jelgelidmodjpmohbapbghdgcpncahki
- lfgakdlafdenmaikccbojgcofkkhmolj
- hdfknlljfbdfjdjhfgoonpphpigjjjak
- kpfbijpdidioaomoecdbfaodhajbcjfl
- fckphkcbpgmappcgnfieaacjbknhkhin
- lhfdakoonenpbggbeephofdlflloghhi
- ljjngehkphcdnnapgciajcdbcpgmpknc
- ejfocpkjndmkbloiobcdhkkoeekcpkik
- ccdimkoieijdbgdlkfjjfncmihmlpanj
- agdlpnhabjfcbeiempefhpgikapcapjb
- mddfnhdadbofiifdebeiegecchpkbgdb
- alknmfpopohfpdpafdmobclioihdkhjh
- hlglicejgohbanllnmnjllajhmnhjjel
- iaccapfapbjahnhcmkgjjonlccbhdpjl
- ehmnkbambjnodfbjcebjffilahbfjdml
- ngbfciefgjgijkkmpalnmhikoojilkob
- laholcgeblfbgdhkbiidbpiofdcbpeeo
- njoedigapanaggiabjafnaklppphempm
- fomlombffdkflbliepgpgcnagolnegjn
- jpoofbjomdefajdjcimmaoildecebkjc
- nhdiopbebcklbkpfnhipecgfhdhdbfhb
- gdnhikbabcflemolpeaaknnieodgpiie
- bbdioggpbhhodagchciaeaggdponnhpa
- ikajognfijokhbgjdhgpemljgcjclpmn
- lmnjiioclbjphkggicmldippjojgmldk
- ffgihbmcfcihmpbegcfdkmafaplheknk
- lgnjdldkappogbkljaiedgogobcgemch
- hiodlpcelfelhpinhgngoopbmclcaghd
- mnophppbmlnlfobakddidbcgcjakipin
- jbajdpebknffiaenkdhopebkolgdlfaf
- ejdihbblcbdfobabjfebfjfopenohbjb
- ikkoanocgpdmmiamnkogipbpdpckcahn
- ileojfedpkdbkcchpnghhaebfoimamop
- akialmafcdmkelghnomeneinkcllnoih
- eholblediahnodlgigdkdhkkpmbiafoj
- ipokalojgdmhfpagmhnjokidnpjfnfik
- hdpmmcmblgbkllldbccfdejchjlpochf
- iphacjobmeoknlhenjfiilbkddgaljad
- jiiggekklbbojgfmdenimcdkmidnfofl
- gkhggnaplpjkghjjcmpmnmidjndojpcn
- opakkgodhhongnhbdkgjgdlcbknacpaa
- nkjomoafjgemogbdkhledkoeaflnmgfi
- ebileebbekdcpfjlekjapgmbgpfigled
- oaacndacaoelmkhfilennooagoelpjop
- ljkgnegaajfacghepjiajibgdpfmcfip
- hgolomhkdcpmbgckhebdhdknaemlbbaa
- bboeoilakaofjkdmekpgeigieokkpgfn
- dkkpollfhjoiapcenojlmgempmjekcla
- emiocjgakibimbopobplmfldkldhhiad
- nchdmembkfgkejljapneliogidkchiop
- lljplndkobdgkjilfmfiefpldkhkhbbd
- hofaaigdagglolgiefkbencchnekjejl
- hohobnhiiohgcipklpncfmjkjpmejjni
- jocnjcakendmllafpmjailfnlndaaklf
- bjdclfjlhgcdcpjhmhfggkkfacipilai
- ahebpkbnckhgjmndfjejibjjahjdlhdb
- enaigkcpmpohpbokbfllbkijmllmpafm
- bpngofombcjloljkoafhmpcjclkekfbh
- cacbflgkiidgcekflfgdnjdnaalfmkob
- ibmgdfenfldppaodbahpgcoebmmkdbac

## Topics

**分类目录:** [业界消息](https://www.appinn.com/category/it-news/?output_format=md)

**标签:** [恶意扩展](https://www.appinn.com/tag/%e6%81%b6%e6%84%8f%e6%89%a9%e5%b1%95/?output_format=md)