快移除！Chrome百萬次下載擴充功能是惡意軟體

▲Google最近下架了一個超過百萬次下載的擴充功能。（示意圖／路透社）

記者楊庭蒝／綜合報導

Google近日將一款擁有超過100萬次下載的Chrome擴充功能「Save Image as Type」標記爲惡意軟體，並強制停用及下架，提醒用戶儘速移除。該工具原本因可將網頁圖片直接轉存爲JPG或PNG等格式而廣受歡迎，如今卻被揭露暗藏可疑程式碼，引發資安與隱私疑慮。

據外媒報導，這款擴充功能主打簡化圖片儲存流程，使用者只需在圖片上按右鍵，即可選擇不同格式下載，過去累積逾100萬名用戶、約1700則評價，平均評分達4.2顆星，甚至曾被列爲官方精選工具。不過近期遭分析發現，其內部檔案中藏有名爲「inject.js」的程式碼，會在背景運作並與外部伺服器互動。

調查指出，該程式會記錄使用者瀏覽的網站，並在進行網購時，透過隱藏機制將原本的商品連結替換爲帶有分潤機制的連結，使實際購買後的佣金流向幕後操作者，而非原始推薦來源。這類手法屬於「Cookie填充」，是一種常見的聯盟行銷詐欺行爲，受影響網站超過500個，涵蓋多個知名平臺。

此外，該惡意程式並非隨時啓動，而是設計特定條件纔會運作，例如使用者需先下載一定數量圖片，且頁面圖片數量達一定門檻纔會觸發，以降低被察覺的風險。雖然目前尚未發現該工具會直接植入病毒，但其蒐集瀏覽紀錄與竄改連結的行爲，已對用戶隱私造成實質影響。

有分析指出，問題可能與該擴充功能在2024年8月易主有關，轉手後開始出現異常行爲。事實上，微軟早在2024年底就已將其自Edge瀏覽器移除，而Google則是在2026年3月才正式採取行動。

專家提醒，若仍有圖片格式轉換需求，可改用其他符合安全規範的替代工具，例如「Save Image As PNG」等較爲單純的擴充功能，以降低資安風險。