Chrome增强保护拦截ClickFix并警告HTTP连接

资讯专家

Google 宣布 Chrome 新增一组针对诈骗和社工的防护，包括新的站点警告、服务端 Gemini 分析和 ClickFix 命令检测。其中 Gemini 与 ClickFix 防护属于 Chrome 的增强保护（Enhanced Protection）模式；该模式是 Google 在 2020 年推出的 Safe Browsing 模式，Google 称去年已有超过 10 亿 Chrome 用户开启。

Safe Browsing 站点警告改为两级
Chrome 的 Safe Browsing 站点警告现在分为两级，类似此前用于文件下载的模型：当 Safe Browsing 高度确信页面恶意时，仍显示整页红色“危险站点”警告；新增“可疑站点”级别用于置信度较低的判定，标记使用已知恶意站点常见欺骗手法的页面。Google 表示，由于这类警告有独立设计，可以安全地显示更多警告。

Gemini 诈骗检测转到服务端
Gemini 驱动的诈骗检测已迁移到 Google 服务器。去年的设备端版本主要针对技术支持诈骗，并且仅限受支持设备上的增强保护用户。现在能力更强的服务端模型面向所有增强保护用户开放，检测目标还扩展到假杀毒和假浏览器更新页面。模型会审查页面展示的品牌、页面用途和诈骗可能性评分等信号。Safe Browsing 将 Gemini 分析、域名信誉和其他安全信号结合后生成最终判定。Google 称，只有在站点出现强烈诈骗迹象时才分析页面文本；离开设备的内容会被临时处理，不会记录、存储或用于训练 AI 模型。

ClickFix 命令检测
ClickFix 攻击会诱导受害者自行粘贴并运行命令，这些命令几乎总会调用 PowerShell 等 living-off-the-land 二进制。由于恶意软件下载发生在终端而不是浏览器，Chrome 和 Safe Browsing 的下载防护不会介入。Chrome 现在可以识别增强保护用户被操纵复制可疑命令的情况：如果复制了潜在 ClickFix 脚本，剪贴板载荷会先去除 PII，再发送到 Safe Browsing 分析；若返回危险判定，Chrome 会显示警告。Google 称该系统按高精度设计，以实时保护用户，同时尽量减少对合法开发活动的干扰。

HTTP 连接前需用户确认
Chrome 现在会在通过未加密 HTTP 连接站点前请求用户批准。增强保护用户今年早些时候已获得该功能；按照去年承诺，Google 现已默认对所有用户开启。Google 认为仅靠“不安全”标签不够：研究表明此类被动提示可能被忽略，重定向等短时 HTTP 流量甚至不会获得标签，而且标签通常只在用户数据和连接已经暴露后才出现。该提示在首次访问 HTTP 站点时显示。用户批准一次 HTTP 使用后，Chrome 不再警告，直到用户至少两周未访问该站点。默认情况下，无法获得公开信任 HTTPS 证书的站点不会触发警告，例如单标签主机名和本地 IP 地址；Google 称这些主机通常风险较低，攻击者需在同一本地网络才能篡改流量。早期推送数据显示，近 95% 的桌面 Chrome 用户在一周内不会遇到 HTTP 警告，不到 1% 的用户看到三次或更多；移动用户看到警告的频率更低。Google 称 Chrome 是首个采用该方法的浏览器，并希望其他浏览器跟进。