sudo apt install python3 python3-venv
git clone https://github.com/ernos/extension-scanner.git
cd extension-scanner

python3 -m venv .venv
source .venv/bin/activate
pip install -r requirements.txt

git clone https://github.com/ernos/extension-scanner.git
cd extension-scanner
chmod +x extension-scanner.py
mkdir -p ~/.local/share/bin
ln -s $PWD/extension-scanner.py ~/.local/share/bin/extension-scanner


# Требуется для анализа стеганографии LSB (необязательно, но рекомендуется)
pip install pillow numpy

# ВАРИАНТ 1. Только для текущего пользователя:
# Включить автодополнение bash для удобства (TAB для автодополнения команд)
mkdir -p ~/.local/share/bash-completion/completions
cp extension-scanner-completions ~/.local/share/bash-completion/completions
echo "source ~/.local/share/bash-completion/completions/extension-scanner-completions" >> ~/.bashrc

# ВАРИАНТ 2. Включить автодополнение глобально для всех пользователей (должно автоматически загружаться из вашего .bashrc)
cp extension-scanner-completions /usr/share/bash-completion/completions

usage: xpiscanner [-h] [--update-blocklist] [--min-severity {CRITICAL,HIGH,MEDIUM,LOW,INFO}] [--json] [--compact] [-v] [-m] [--scans CHECK [CHECK ...]]
                  [targets ...]

Firefox Extension Scanner - Сканирует XPI-файлы на наличие рисков безопасности и индикаторов вредоносного ПО

positional arguments:
  targets               Один или несколько XPI-файлов или каталогов, содержащих XPI для анализа

options:
  -h, --help            показать это справочное сообщение и выйти
  --update-blocklist, --update, -u
                        Загрузить свежие черные списки доменов из URLhaus и списка Питера Лоу, объединить с встроенным снимком и сохранить в
                        /home/peb/projects/Firefox-Extensions/extension-scanner/blocklist.json. Завершается после обновления.
  --min-severity {CRITICAL,HIGH,MEDIUM,LOW,INFO}
                        Минимальный уровень серьезности для отображения (CRITICAL, HIGH, MEDIUM, LOW, INFO; по умолчанию: INFO)
  --json                Вывод результатов в формате JSON вместо форматированного текста
  --compact, -c         Печатать каждое обнаружение в 1–2 строки вместо формата по умолчанию в 3 строки
  -v, --verbose         Включить подробный вывод: показывать дополнительный контекст для обнаружений
  -m, --manifest        Показать полный манифест расширения для каждой цели
  --scans, -s CHECK [CHECK ...]
                        Ограничить анализ определенными типами проверок. Варианты: anti-analysis, api-abuse, credentials, cross-file,
                        file-meta, hidden-elements, obfuscation, payloads, permissions, polyglot, remote-code,
                        signatures, steganography, time-bomb, zip-tricks. Опустите для выполнения всех проверок (по умолчанию).

    extension-scanner.py — Анализ файлов расширений XPI для Firefox (и других браузеров) на наличие рисков безопасности и индикаторов вредоносного ПО.

    Прочтите README.md для получения информации о том, как интерпретировать результаты, ограничениях и рекомендациях по использованию.  
    Этот инструмент предназначен для исследователей безопасности, аналитиков и продвинутых пользователей, желающих провести 
    всесторонний статический анализ расширений браузера. Он должен хорошо работать и для других браузеров, 
    но тестировался только на Firefox.

Usage:
    python3 extension-scanner.py [OPTIONS] targets...

Цели могут быть отдельными файлами .xpi или каталогами, содержащими файлы .xpi. Используйте шаблоны glob (например, *.xpi) для удобства.

Доступные типы проверок:
    permissions               Опасные/широкие разрешения манифеста и проблемы CSP
    remote-code               Фоновые страницы или сервис-воркеры, загружаемые с удаленных URL
    obfuscation              Приемы eval/atob/кодирования, подозрительные URL, строки с высокой энтропией
    payloads                  Блоки, закодированные в Base64, декодированные и просканированные на наличие исполняемых файлов/скриптов
    steganography             Добавленные данные PNG (автоматически декодированные через base64/zlib/gzip), неизвестные чанки, анализ канала LSB
    credentials               Жестко заданные ключи API, токены, пароли, закрытые ключи, IP-адреса
    file-meta                 Магические байты, двойные расширения, подозрительные имена файлов, энтропия файлов
    polyglot                  Файлы, валидные в двух форматах одновременно (например, HTML+ZIP)
    zip-tricks                Обход пути (path traversal), нулевые байты, дублирующиеся записи, ZIP-комментарии
    cross-file                Токены классов HTML, перекрестно связанные с ключами localStorage в JS
    signatures                Известные строки из подтвержденных семейств вредоносных расширений (qingcaila, YTMP4 и т.д.)
    api-abuse                 Вызовы API браузера, указывающие на кражу данных или эксфильтрацию (cookies, tabs, history, keylogger, clipboard, executeScript)
    hidden-elements           Невидимые iframe, внедрение элементов с нулевыми размерами, отслеживающие пиксели (new Image().src)
    time-bomb                 setTimeout с большой задержкой, ворота Date.now(), проверки даты установки в localStorage, ворота Math.random()
    anti-analysis             navigator.webdriver, окно нулевого размера, голый оператор debugger, тайминг performance.now()

Примеры:
    python3 extension-scanner.py extension.xpi
    python3 extension-scanner.py *.xpi
    python3 extension-scanner.py /path/to/extensions/
    python3 extension-scanner.py a.xpi b.xpi --min-severity HIGH
    python3 extension-scanner.py ext.xpi --scans obfuscation payloads
    python3 extension-scanner.py ext.xpi --s steganography zip-tricks file-meta
    python3 extension-scanner.py ext.xpi --verbose
    python3 extension-scanner.py --update-blocklist
    python3 extension-scanner.py --manifest

Советы:
    - Убедитесь, что файл scanner-completions.sh подгружается из вашего .bashrc или .zshrc, чтобы включить автодополнение по TAB для категорий --scans и путей к целевым файлам.
    - Используйте --min-severity, чтобы сначала сосредоточиться на самых критичных обнаружениях.
    - Используйте --scans, чтобы ограничить анализ определенными категориями проверок, если вы ищете что-то конкретное или хотите ускорить сканирование.
    - Просмотрите полный манифест с помощью --manifest для контекста о разрешениях, контентных скриптах и других метаданных расширения, которые могут помочь интерпретировать результаты.
    - Регулярно обновляйте черный список с помощью --update-blocklist, чтобы последние вредоносные домены были включены в проверки.

Благодарности:
    Разработано Ernos @ https://www.yourdev.net
    Email: max at yourdev.net
    GitHub: https://www.github.com/ernos/extension-scanner

════════════════════════════════════════════════════════════════════════════
  XPI АНАЛИЗАТОР — example.xpi
════════════════════════════════════════════════════════════════════════════
  Общий вердикт: ВЫСОКИЙ РИСК

  Обнаружено: 1 CRITICAL  3 HIGH  2 MEDIUM  1 LOW

  ── CRITICAL ────────────────────────────────────────────────────────────
  [CRITICAL ] [JS_OBFUSCATION] content.js
           Вызов eval() — может выполнять произвольный код из строк
           Доказательство: var x = eval(atob("dmFyIGE9MTs…"))

  ── HIGH ────────────────────────────────────────────────────────────────
  [HIGH     ] [PERMISSION] manifest.json
           Опасное разрешение: 'nativeMessaging' — может запускать нативные ОС… 
           Доказательство: permissions: ['nativeMessaging', 'storage', '<all_urls>']
  …

python3 extension-scanner.py extension.xpi --min-severity HIGH
if [ $? -eq 2 ]; then echo "Найдены CRITICAL проблемы!"; fi