Cómo escanear complementos de Firefox

Recientemente me he dado cuenta de los complementos de Firefox que hacen que el sistema sea vulnerable a las amenazas de seguridad. Y también me di cuenta de que algún software antivirus no podía verlo como una amenaza. ¿Conoces alguna solución para evitar esto? ¿O hay alguna aplicación que pueda escanear un complemento de Firefox para saber si está actuando maliciosamente o no?

Bueno, los complementos de Firefox están contenidos en archivos .XPI, que en realidad son archivos ZIP, que contienen un montón de Javascript, CSS, imágenes, HTML, ... y otros archivos de soporte.

Veo 2 maneras en que los complementos maliciosos pueden ser detectados:

1. las compañías de antivirus modifican su software para que escaneen dentro de los archivos XPI y utilicen firmas para identificar complementos no autorizados
2. Mozilla implementa un sistema de "lista negra" para extensiones, se actualiza con frecuencia y le dice a los usuarios que la extensión ha sido deshabilitada por razones de seguridad.

El número 2 está realmente en su lugar, lo usaron para deshabilitar algunas extensiones, incluida una extensión Microsoft .Net que luego se volvió a habilitar.

Creo que ahora está del lado de Mozilla para evitar que los malos complementos causen problemas a los usuarios y mala reputación para Firefox.

Las exploraciones heurísticas de antivirus probablemente no funcionen, ya que buscarían un código que modifique las funciones del navegador ... ¡y esto es exactamente para lo que están hechos los complementos!

Estás comparando dos pares de zapatos aquí: Malicioso no es vulnerable. Sí, puede suceder que los complementos mal escritos sean vulnerables ... pero normalmente no sobreviven tanto tiempo en la naturaleza (debido a su carácter OpenSource) para abusar realmente de ellos. También podría ser que haya AddOns maliciosos por ahí ... pero son seguros no en addons.mozilla.org . Cada complemento que instale desde ese sitio es probado, revisado y seguro.

Además, un software AntiVirus solo puede buscar firmas conocidas de códigos maliciosos, pero Firefox-AddOns son en su mayoría Javascript, lo que dificulta su seguimiento, ya que puede ofuscar el código de tantas maneras diferentes que es casi imposible encontrarlo. Que estas buscando. Dicho software no puede buscar vulnerabilidades (de lo contrario, no habría ninguna y los agujeros de seguridad nunca ocurrirían).

Pero lo digo de nuevo y tengo que gritarlo en voz alta, lo siento: ¡Todos los complementos del sitio oficial de Mozilla son seguros!