针对Spectre漏洞，谷歌推出了名为“StrictSiteIsolation”（严格站点隔离）的安全特性，主要是为了防止未经授权授权数据被盗。但最近，一个由几所国际大学组成的团队发现了Spook.js，这是一种恶意JavaScript代码，可以绕过Google的安全功能，从其他选项卡获取密码等敏感数据。目前，安全专家已确认英特尔处理器和苹果M1芯片受到影响，但AMD芯片也被认为存在风险，但尚未得到充分证实。该团队由来自佐治亚理工学院、阿德莱德大学、密歇根大学和特拉维夫大学的研究人员组成。“尽管谷歌试图通过部署严格的站点隔离来缓解Spectre，但在某些情况下，通过恶意JavaScript代码提取信息仍然是可能的，”他们说。“更具体地说，我们表明攻击者控制的网页可以知道用户当前正在查看同一网站的哪些其他页面，从这些页面获取敏感信息，甚至在自动填充时恢复登录凭据（例如，用户名和密码）。我们进一步证明，如果用户安装了恶意扩展程序，攻击者可以从CredentialManager等Chrome扩展程序中检索数据。”这位安全研究人员分享了几个视频，展示了Spook.js的运行情况。在第一个视频中，该攻击用于从Chrome的内置凭据管理器获取Tumblr博客的密码。在第二个视频中，恶意浏览器扩展被用来从LastPass窃取主密码。
