DarkSpectre:感染ブラウザ880万件の背後にいる脅威アクターの正体

過去1年間、私たちは数多くのマーケットプレイスで数百、いや数千件もの悪意あるアイテムに遭遇してきました。しかし今回、これまで発見した中でも最大級かつ最も高度なキャンペーンのいくつかを手がけた、資金力のある犯罪組織を突き止めたのは初めてのことです。

私たちはこの組織をDarkSpectreと呼んでいます。7年以上にわたる活動の中で、少なくとも3つの大規模マルウェアキャンペーンを展開し、880万人以上のユーザーを感染させてきた中国の脅威アクターです。今回、私たちはその全貌を明らかにするとともに、220万ユーザーに影響を及ぼした新たなDarkSpectreキャンペーンと、GhostPosterに関連するインストール数約100万件のOpera向け新規ブラウザ拡張機能についても公表します。

これは類似の手口を用いる3つの別々の脅威アクターの話ではありません。単一の高度に組織化された作戦です。そして彼らのインフラを追跡する過程で、私たちは思いがけないものに行き当たりました。企業の会議情報を窃取する220万ユーザー規模のキャンペーンです。これは今回初めて公表するものです。

私たちがこれを公表するのは、組織に理解してほしいことがあるからです。拡張機能をめぐる脅威の実態は、散発的に暗躍する日和見的な犯罪者たちではありません。DarkSpectreのような、忍耐強く高度で、国家規模の作戦を展開するプロフェッショナルな組織なのです。

発見の連鎖:3つのキャンペーンを単一のアクターに結びつけた経緯

出発点:ShadyPanda

ShadyPandaに関する最初の調査結果を公表した後、私たちはIOC(侵害指標)調査を拡大するため改めて調べ直しました。当初はもう数件程度の関連拡張機能が見つかると想定していましたが、実際には100件を超える拡張機能が判明しました。

今回の調査の起点となったのは、当初の調査で判明していた2つのドメイン、infinitynewtab.comとinfinitytab.comです。

ここに巧妙な仕掛けがありました。これらはC2(コマンド&コントロール)ドメインでも情報窃取用のドメインでもなく、拡張機能の正規機能——新しいタブの表示や天気ウィジェットなど、ユーザーが実際に求めている機能——を提供する正規サイトだったのです。しかしDarkSpectreは、この「クリーン」な同一ドメインを、全く別の悪意あるC2・情報窃取インフラに接続する他の拡張機能でも使い回していました。彼らの作戦のうち正規の部分こそが、すべてをつなぎ合わせる糸口となったのです。

最初の拡大:新たなクラスターの出現

これらのドメインを起点に、同インフラと通信する拡張機能を特定しました。そのコードを掘り下げると、さらなるハードコードされたドメイン、APIエンドポイント、リダイレクトチェーンが明らかになりました。そこから2つの新たなクラスターが浮かび上がりました。

jt2x.comクラスター——C2運用、設定ファイルのダウンロード、データの窃取、アフィリエイト詐欺スキームにapi.jt2x.comを使用する拡張機能群。

zhuayuya.com / muo.ccクラスター——別のドメインを使用しながらも、全く同一の運用パターンを持つ別のグループ。

1つのドメインが複数の拡張機能に、その拡張機能が新たなドメインに、そのドメインがさらに多くの拡張機能へとつながっていきました。中には全く異なるインフラを使う拡張機能を数十件抱える公開者(パブリッシャー)にたどり着くケースもありました。このネットワークは拡大を続け、最終的にChrome、Edge、Firefoxにまたがる100件以上の拡張機能に達しました。

GhostPosterとのつながり

新たに発見された拡張機能の中には、「New Tab – Customized Dashboard」という、活性化まで3日間待機する高度な時限式の拡張機能がありました。そのC2インフラには目を引くものがありました。

私たちはこれらのドメインを自社システムでフラグ登録しようとしました。すると、こんなポップアラートが表示されました。「これらのドメインは既にGhostPosterとしてフラグ登録されています」。liveupdt.comとdealctr.com——これは、悪意あるPNGアイコンを通じてFirefoxユーザー5万人を感染させたGhostPoster調査で私たちが記録したのと全く同じC2ドメインでした。

インフラは同一。ペイロードの配信手法(PNGファイルに偽装したコード)も同一。マーケットプレイスが異なるだけで、運営者は1つでした。

しかしGhostPosterとのつながりはそこで終わりませんでした。あるSOCチームが、自社環境で私たちのIOCの1つを発見したことをきっかけに連絡をくれました。この情報から、Operaブラウザのマーケットプレイスにある新たな拡張機能にたどり着きました。charliesmithbons作の「Google™ Translate」——インストール数は約100万件に上ります。

調査の結果、GhostPosterと同様の悪意ある挙動が確認されました。この拡張機能は翻訳ツールを装っていますが、実際にはすべてのウェブサイトからセキュリティ保護機能を剥ぎ取り、リモートコード実行のための隠しiframeバックドアを仕込み、中国のEコマースアフィリエイトリンクにおける不正防止機能を無効化していました。通信先は、当初のGhostPosterキャンペーンで確認されていたドメインmitarchive.infoと、新たなドメインgmzdaily.comでした。

Zoom Stealerとのつながり

しかし、それだけでは終わりませんでした。ShadyPandaの調査範囲拡大の中で、パターンに当てはまらない1つの拡張機能が見つかりました。‍

Twitter X Video Downloader

この拡張機能は、ShadyPandaの中核インフラであるinfinitynewtab.comと通信していました。しかし、その挙動を分析したところ、予想外の事実が判明しました。単にデータを窃取しユーザーを監視しているだけではなく、28以上のビデオ会議プラットフォームから会議に関する情報を収集していたのです。

この糸をたどると、さらに17件の同様の拡張機能が見つかりました。私たちが「The Zoom Stealer」と名付けた、全く別のキャンペーンです。その目的は、企業の会議情報を検索可能なデータベースとして構築することにあります。

DarkSpectreの手口:複数の戦術、単一のアクター

DarkSpectreを危険な存在たらしめているのは、その規模の大きさだけではありません。多様性こそが本質です。3つの異なる目的に対応する、3つの異なる戦術があります。

戦術A:長期戦(ShadyPanda)

目的:大規模な監視とアフィリエイト詐欺

正規の拡張機能をアップロードし、3〜5年以上維持管理を続けて「注目」「認証済み」バッジを獲得した後、単発のアップデートでインストールベース全体を武器化します。時限式の活性化、リモートコード注入、設定ファイルベースのC2運用。中には武器化されるまで5年以上クリーンな状態を保っていた拡張機能もありました。

規模:Chrome、Edge、Firefox上の100件以上の拡張機能にわたる560万ユーザー

戦術B:トロイの木馬画像(GhostPoster)

目的:Firefoxユーザーへのステルス型ペイロード配信

ステガノグラフィを用いてPNGアイコンファイルの中に悪意あるコードを隠します。拡張機能は自身のロゴを読み込み、隠されたJavaScriptを抽出して実行します。48時間の遅延と10%の活性化確率を伴う多段階の読み込み。C2インフラはShadyPandaと同一です。

規模:FirefoxとOperaの18件の拡張機能にわたる105万ユーザー

戦術C:企業インテリジェンス(The Zoom Stealer)

目的:企業の会議情報データベースの構築

会議の生産性向上ツールを装い、28以上のビデオ会議プラットフォームへのアクセス権限を要求する拡張機能群。会議リンク、認証情報、参加者リスト、登壇者のプロフィール情報をWebSocketを通じてリアルタイムに窃取します。これは消費者向けの詐欺ではなく、企業スパイ活動のためのインフラです。

規模:Chrome、Edge、Firefoxの18件の拡張機能にわたる220万ユーザー

3つの戦術が物語ること

日和見的な犯罪者たちは、これほどの運用の多様性を維持しません。彼らは通用する一つの手口を見つけると、それが通用しなくなるまで繰り返すだけです。

DarkSpectreはそれとは違う動き方をしています。

• すべての主要ブラウザプラットフォームにまたがる並行キャンペーン
• 各プラットフォームと目的に応じて調整された独自の手法
• 長期的なインフラ投資(7年以上の活動実績)
• 進化し続ける目的(詐欺から監視、そして企業スパイ活動へ)

これは組織化された活動です。資金も潤沢です。そして戦略的です。

キャンペーン詳細解説:The Zoom Stealer

会議情報の窃取作戦——被害者220万人

異なる目的

ShadyPandaとGhostPosterは、監視やアフィリエイト詐欺、RCE(リモートコード実行)バックドアに主眼を置き、持続的なアクセスを維持しながらユーザーデータを収益化していました。一方The Zoom Stealerは、より的を絞った目的を持っています。企業の会議情報を組織的に収集することです。

発見の経緯

両者をつなぐ橋渡し役となったのが、Twitter X Video Downloaderという1つの拡張機能でした。

この拡張機能は、ShadyPandaの中核インフラであるinfinitynewtab.comと通信していました。しかし同時に、ビデオ会議プラットフォームにもアクセスし、会議データを収集していたのです。この拡張機能から、同クラスターの18件すべての拡張機能が使用する別の情報窃取用ドメインが判明しました。

拡張機能の実態

これらは一見して明白なマルウェアではありませんでした。実際に価値を提供する、機能する正規のツールだったのです。

• 動画ダウンローダー(実際に機能する)
• 会議タイマー(実際に機能する)
• 自動入室補助ツール(実際に機能する)
• 録画支援ツール(実際に機能する)

ユーザーは宣伝通りの機能を得られました。拡張機能は信頼と好意的なレビューを獲得していきました。その裏で、監視活動が水面下で静かに進行していたのです。

中でも際立つのが、単独で80万件以上のインストール数を誇るChrome Audio Captureです。

権限要求という手がかり

表向きの機能が何であれ、The Zoom Stealerの拡張機能はすべて、Zoom、Microsoft Teams、Google Meet、Cisco WebEx、GoToWebinar、ON24、Demioなど28以上のビデオ会議プラットフォームへのアクセス権を要求していました。

Twitterの動画ダウンローダーがZoomにアクセスする理由はありません。Google Meetのタイマーツールも同様にWebExにアクセスする理由はありません。しかし、このキャンペーンに含まれるすべての拡張機能が、そのすべてへのアクセス権を要求していたのです。

データ収集エンジン

これらの拡張機能をインストールした状態でウェビナー登録ページを訪れると、拡張機能のコンテンツスクリプトが起動し、ページ上のあらゆる価値ある情報を収集します。パスワードが埋め込まれた会議URL、会議ID、議題、説明文、予定日時、登録状況などです。

しかも、収集対象は会議の詳細情報だけにとどまりません。これらの拡張機能は、ウェビナーの登壇者やホストの職務上の情報——氏名、肩書き、経歴、プロフィール写真、所属会社——も組織的に収集していました。

登録したウェビナーごとに、拡張機能は登壇者の職務経歴の詳細な調書(ドシエ)を構築していました。人物情報にとどまらず、企業ロゴ、宣伝用画像、セッションの実施タイミングまで収集し、登録の成否も追跡していました。

リアルタイムでの情報窃取

最も懸念すべき点は、収集されたデータの内容だけではなく、その送信方法にありました。WebSocket接続によるライブストリーミングです。

これらは定期的に通信を確認するタイプの拡張機能ではありません。持続的なWebSocket接続を確立し、あなたの会議に関する活動をリアルタイムで送信し続けるのです。会議に参加した瞬間、登録ページを開いた瞬間、あるいはビデオ会議プラットフォームに移動した瞬間、そのデータは即座に攻撃者のサーバーへと流れていきます。

会議情報は何に使われるのか

DarkSpectreは現在、220万ユーザー分の会議データを手中に収めています。その価値はどれほどのものでしょうか。

企業スパイ活動:競合他社が、戦略会議や製品ロードマップの議論、M&A交渉へのアクセス権を購入する可能性があります。このデータベースには実際の参加リンクが含まれています。

営業インテリジェンス:どの企業がどのウェビナーに参加しているかを知ることで、その関心事や課題、購買までのタイムラインが明らかになります。

ソーシャルエンジニアリング:登壇者の氏名、肩書き、経歴、写真を武器に、攻撃者は極めて説得力のあるフィッシングキャンペーンを作り上げます。「こんにちは、先日あなたが参加された製品ロードマップのウェビナーで登壇したサラです……」といった具合です。

直接アクセス:会議リンクを最高値の入札者に売却する。競合他社の決算発表前ブリーフィングを盗み聞きしたいと思いませんか。

より大きな脅威

なりすまし攻撃と企業スパイ活動は近年急増しています。このキャンペーンは、まさにこうした攻撃を大規模に可能にするインフラを構築しているように見受けられます。

220万ユーザーにわたって会議リンク、参加者リスト、企業情報を組織的に収集することで、DarkSpectreは大規模ななりすまし作戦を実現しうるデータベースを作り上げました。攻撃者に対し、機密性の高い通話への参加権限、なりすます相手を特定するための参加者リスト、そのなりすましを説得力あるものにするための文脈情報を提供しているのです。

あなたの会議リンクは、競合他社や脅威アクター、そして国家にとっても価値のあるものです。それにもかかわらず、それを保護するためのセキュリティモデル——広範な権限を持つブラウザ拡張機能を信頼するという仕組み——は、笑ってしまうほど脆弱なままです。

キャンペーン詳細解説:ShadyPanda

旗艦作戦——被害者560万人

当初の発見

私たちの最初のShadyPanda調査では、7年間にわたり430万人のユーザーを感染させたキャンペーンが明らかになりました。拡張機能は、新しいタブページや翻訳ツール、タブ管理ツールといった生産性向上ツールを装いながら、実際には包括的なスパイウェアとして動作していました。

調査範囲の拡大:100件以上の拡張機能

IOC調査を拡大するために調べ直したところ、同一インフラに接続する追加の100件以上の拡張機能が新たに発見され、被害者数はさらに130万人増加しました。

現在の脅威の内訳:

• 現在進行形で悪意ある活動を行っているもの9件——現時点でデータを窃取し、検索結果を乗っ取り、アフィリエイト詐欺を実行中
• 休眠状態のスリーパーが85件以上——現時点では正規のまま、武器化のアップデートを待機中

jt2x.comクラスター(現在活動中の拡張機能4件)

現在、api.jt2x.comと通信している拡張機能が4件あります。うち2件は翻訳ツールを装い、残りはタブ管理ユーティリティを名乗っています。こうした便利さを装った外見の裏には、高度なアフィリエイト詐欺およびデータ窃取の作戦が潜んでいます。

仕組み:

これらの拡張機能のいずれかをインストールすると、直ちに悪意ある設定ファイルのダウンロードのために通信を開始します。

C2サーバーは、拡張機能に何をすべきかを正確に指示するJSONペイロードを返します。

この設定ファイルベースの仕組みにより、運営者はアップデートを配信することなく拡張機能の挙動を変更できます。サーバーが返す値を変更するだけで済むのです。

実際の行為:

• リモートコード注入:訪問するすべてのウェブサイト上でbcaicai.comからJavaScriptをダウンロードして実行します。運営者はこのコードをいつでも変更でき、パスワードの窃取、キー入力の記録、偽の決済フォームの注入なども、拡張機能自体のアップデートなしに行えます。
• 永続的な追跡:デバイス/ユーザー識別子を生成し、セッションをまたいだ追跡と行動プロファイルの構築を行います。
• 検索結果の乗っ取り:9以上の検索エンジンを監視し、検索結果のリンクをアフィリエイト用トラッキング経由に書き換えます。
• Eコマース詐欺:JD.comやTaobaoを標的にURLパターンマッチングを行い、正規のリンクをアフィリエイト用リンクに差し替えます。

時限爆弾:「New Tab – Customized Dashboard」

この拡張機能は、時限式の活性化というDarkSpectreの高度な手口を象徴しています。

3日間の待機期間の後、拡張機能はC2インフラに接続し、実際の悪意あるペイロードをダウンロードします。

サーバーは、PNG画像に偽装した約67KBのエンコード済みJavaScriptを返します。これはGhostPosterで使われていたのと同一の手法、同一のドメインです。拡張機能はこのペイロードをデコードし、訪問するすべてのウェブサイト上で実行します。拡張機能のアップデートも、審査プロセスの回避も必要ありません。運営者はサーバーが返す値を更新するだけで、あなたのブラウザ上で何が実行されるかを制御できるのです。

では、実際にダウンロードされたペイロードには何が含まれているのでしょうか。以下は運営者が現時点で実行している内容です(ただし、彼らはこれをいつでも変更できる点に留意してください)。

• 永続的な追跡:訪問するすべてのページ、行うすべての検索、クリックするすべてのリンク。ローカルストレージと同期ストレージの両方に保存される永続的なユーザーIDは、ブラウザの再インストール後も存続します。
• アフィリエイト詐欺:TaobaoとJD.comのアフィリエイトリンクを標的とし、隠しリダイレクトを通じてコミッションを横取りします。

ペイロード全体は、独自のエンコード、XOR暗号化、パック化されたJavaScriptなど、幾重もの難読化に包まれています。この拡張機能のあらゆる部分が、検知回避のために設計されているのです。

WeTab:旗艦スパイウェア

WeTabは、ShadyPandaの手口の中でも依然として最も包括的なスパイウェアです。閲覧履歴の完全収集、検索クエリのログ記録、ピクセル単位の精度でのマウスクリック追跡、そして17もの異なるドメイン(中国国内のBaiduサーバー8台、中国国内のWeTabサーバー7台、Google Analytics)への個人データの送信を行います。Chromeマーケットプレイスに双子のように存在し、合計インストール数は30万件以上に上ります。今なお活動中で、データ収集を続けています。

85件以上のスリーパー拡張機能

これらの拡張機能は、信頼構築の段階を既に完了しています。

• 合計で数十万件規模のインストール数
• 長年にわたる好意的なレビュー
• 「注目」「認証済み」バッジ
• クリーンなコード(今のところは)
• 完全な信頼を得ているアクティブなユーザー基盤

これまで確立されてきたDarkSpectreの手口を踏まえると、これらのいずれもが次のアップデートで悪意あるものへと転じる可能性があります。運営者は5年以上待つ姿勢を既に示しています。彼らは、自らの戦略的目標に資すると判断した時点で武器化に踏み切るでしょう。

帰属:中国とのつながり

私たちが突き止めたあらゆる事実は、一つの方向を指し示しています。潤沢な資金を持つ中国の作戦です。

インフラ

• C2サーバーは一貫して中国国内のAlibaba Cloudインフラ上でホストされている
• ICP(インターネットコンテンツプロバイダー)登録が中国の省、特に湖北省に紐づいている

コードの痕跡

• コードベース全体にわたる中国語の文字列
• 中国語のコメントと変数名
• 中国のタイムゾーンでの活動と一致する開発パターン

標的の選定

• 中国のEコマースプラットフォーム(JD.com、Taobao)に特化して設計されたアフィリエイト詐欺スキーム
• 中国のマーケットプレイスの構造に合わせて調整されたURLパターンマッチング

運用上の特徴

• 並外れた忍耐力:武器化までの5年以上にわたり正規の拡張機能を維持
• マルチプラットフォーム対応力:Chrome、Edge、Firefoxにまたがる同時展開
• 多様な目的:消費者詐欺、監視、企業スパイ活動
• 規模:880万人以上の被害者数は、相当なインフラ投資を必要とする

これが示唆すること

忍耐力、規模、技術的な高度さ、そして運用の多様性が組み合わさっていることは、豊富なリソースと長期的な戦略目標を持つ敵対者の存在を示しています。

DarkSpectreが国家の支援を受けているのか、国家と関係が深いのか、あるいは国家から黙認された資金力豊富な犯罪組織なのかは分かりません。しかし、彼らはほとんどの脅威アクターには維持できない水準で活動しています。数十もの正規拡張機能を何年にもわたって維持し、武器化に適した瞬間をひたすら待ち続けるという規律には、資金力、組織力、そして戦略的な構想力が求められます。

結びに

私たちがDarkSpectreを特定できたのは、そこから調査を広げるためのインフラのIOCを手にしていたからです。ShadyPandaからGhostPoster、そしてThe Zoom Stealerへとたどり着けたのは、これらがインフラを共有していたからにほかなりません。

DarkSpectreは現在も、さらに多くのインフラを展開している可能性が高いでしょう。それらの拡張機能が完全に正規なものに見えるのは、実際に今は正規だからです。彼らは今なお信頼構築の段階にあり、ユーザーを積み重ね、バッジを獲得しながら待機を続けています。今回の3つの作戦を暴いている間に、彼らが他に何を準備してきたのかは、時間が経たなければ分かりません。

そして、DarkSpectreは数ある脅威アクターの一つに過ぎません。中国系、ロシア系、北朝鮮系、あるいはそれ以外にも、同様の長期的な作戦を展開している脅威アクターがどれほど存在するのでしょうか。今回私たちが発見した限りでも、このグループは複数のキャンペーンにわたって合計300件近い拡張機能を有しています。すべての脅威アクターを合わせたスリーパー拡張機能の総数は、もはや計り知れません。

マーケットプレイスの審査モデルは、アップロード時に一度だけ拡張機能をチェックする仕組みです。一方でDarkSpectreは、好きなタイミングでいつでも更新を行います。だからこそKoiは、あらゆる拡張機能のあらゆるバージョンを静的解析、動的解析、そしてエージェント型AIを用いて分析するリスクエンジン「Wings」を構築したのです。何年も活性化を待ち続けるスリーパー型の脅威を捕捉するには、このような仕組みが必要なのです。

デモを予約することで、Koiの継続的な監視がマーケットプレイスの見逃す脅威をどのように捕捉するかをご確認いただけます。

侵害指標(IOC)

更新(2026年2月12日):‍

公表後、当初IOCリストに含めていたドメインmeetingtv[.]usについて、追加の検証を実施しました。このドメインは調査時に解析したコード内に出現していましたが、本レポートで解説した悪意あるインフラや脅威アクターグループとの関連性を示す証拠は確認されなかったことをここに報告します。

新規ドメイン – ShadyPanda

• infinitynewtab[.]com
• infinitytab[.]com
• jt2x[.]com
• zhuayuya[.]com
• 58.144.143.27
• muo[.]cc
• websiteshare[.]cn
• diytab[.]com
• userscss[.]top
• istartnewtab[.]com
• letsearchesp[.]com
• policies.extfans[.]com

新規ドメイン – GhostPoster

• gmzdaily[.]com

Chrome – The Zoom Stealer

• kfokdmfpdnokpmpbjhjbcabgligoelgp
• pdadlkbckhinonakkfkdaadceojbekep
• akmdionenlnfcipmdhbhcnkighafmdha
• pabkjoplheapcclldpknfpcepheldbga
• aedgpiecagcpmehhelbibfbgpfiafdkm
• dpdgjbnanmmlikideilnpfjjdbmneanf
• kabbfhmcaaodobkfbnnehopcghicgffo
• cphibdhgbdoekmkkcbbaoogedpfibeme
• ceofheakaalaecnecdkdanhejojkpeai
• dakebdbeofhmlnmjlmhjdmmjmfohiicn
• adjoknoacleghaejlggocbakidkoifle
• pgpidfocdapogajplhjofamgeboonmmj
• ifklcpoenaammhnoddgedlapnodfcjpn
• ebhomdageggjbmomenipfbhcjamfkmbl
• ajfokipknlmjhcioemgnofkpmdnbaldi

Edge – The Zoom Stealer

• mhjdjckeljinofckdibjiojbdpapoecj

Firefox – The Zoom Stealer

• {7536027f-96fb-4762-9e02-fdfaedd3bfb5}
• [email protected]

Chrome – Shady Panda

• aikflfpejipbpjdlfabpgclhblkpaafo
• dbfmnekepjoapopniengjbcpnbljalfg
• nnnkddnnlpamobajfibfdgfnbcnkgngh
• ppfdcmempdfjnanjegmjhanplgjicefg
• fmiefmaepcnjahoajkfckenfngfehhma
• edojphplonjclmfckdiolpahpgcanjnh
• bjehnpiidogpaocjjfhnopdjcahigggm
• kdgjiakonpbfmndaacfhamdoangincgp
• dihekmadkkcgnffajefocfamnpimlhah
• eijnkinhnplaekpllmgbbfieecdhcmcp
• mdlkdelnchilkeedllnnjfigkhhadlff
• agepkkdokhlaoiaenedmjbfnblfdiboc
• epepbcdeelckgplpmmmnmjplbeipgllo
• makeekhnfplggoaiklkphfopajegajci
• cahdpfhnokmnnjhoaoliabdbcbbokmgc
• mmpfmolbdhdfoblfggigchncdgmdnjha
• knejepegjmjmjlhficbikmblnbemdpke
• cjlabngphhjjdapemkdnpgkpebkpjbbe
• jeaebbdndojkbnnfcaihgokhnakocbnf
• bajoeadpdidoahbhphmhejmbdmgnbdci
• goiffchdhlcehhgdpdbocefkohlhmlom
• djkddblnfgendjoklmfmocaboelkmdkm
• codgofkgobbmgglciccjabipdlgefnch
• cicnbbdlbjaoioilpbdioeeaockgbhfi
• mchacgmgddefeohkjobefhihbadocneh
• oelcnhfgpdjeocflhhfecinnpjojeokp
• fllcifcfhgmmfpogmpedgbjccnjalpjo
• fmgaogkbodhdhhbgkphhbokciiecllno
• dkbpkjhegfanacodkmfjeackckmehkfp
• jooiimddfkjoomennmpjabdbbpdocjng
• dekjibpkbhgbnmnfibnibnjoccaphfog
• mnamhmcgcfflfjafflanbhbfffpmkmmm
• ambcheakfbokmebglefpbbphbccekhhl
• nmaegedpdmepbkahckadmaolllgmogma
• doeomodlafdbbnajjllemacdfphbbohl
• meobjhkdifjealkiaanikkpajiaalcad
• kfdopiiledmclnopmihkclnfgdiggjna
• cfgiodgnkinmacjkgjgdejeciohojglp
• okepehobneenpbhiendcjcanjodhmcbj
• cdgonefipacceedbkflolomdegncceid
• bgkdocoihppjkdfaghndpjlfoehjcmka
• ldmnodpmebcfcdkejkdakphbcjnmejlf
• pdfladlchakneeclhmpoboohikpbchkj
• gipnpcencdgljnaecpekokmpgnhgpela
• idholfkkmfccbondfiabhlmdfeamnnaj
• bpgaffohfacaamplbbojgbiicfgedmoi
• jdehnhjckcbfdkgnlbfjokofagpbbdgl
• dijcdmefkmlhnbkcejcmepheakikgpdg
• gndlcpbcmhbcaadppjjekgbhfhceeikm
• lepdjbhbkpfenckechpdfohdmkhogojf
• hbjeophpjnopmeheabcilmgdhnnjbmbo
• dlfjoijnhjeagkenhbililbdiooginng
• kolgdodmgnnhnijmnnidfabnghgakobl

Edge – Shady Panda

• edohfgmjmdnibeihfcajfclmhapjkooa
• pdjpkfbpeniinkdlmibcdebccnkimnna
• hmpjibmngagmkafmijncjokocepchnea
• kljbaedmklfnlgfmmbodnckafhllkjnd
• lmppkgmbapjgihlpadknmfalefnfnfnd
• ldghoefcghcinacfneopmnechojlhldf
• mgjfjcimpkdjgeldkcaoboiojmlcleka
• aghafppaelpjbjajpgcogcojcbmappoi
• kgdjeaonamhfooejllllfpeappcgfpod
• knjgknhkgmedmajpkhooaagjgfgbcndo
• apoklfecapckgpbbcpaiebemaghmkncf
• podfjomopoejmlkfnhanlmlagcnlappd
• idngjfdlfbfgecemidnhbdcogggnjkpg
• kghabofklgjfnipgkjadlogcjbebkeid
• fmmfeaoidanfcipomjfolmchjdnhmaio
• cfmfokegjjljmdcdpnmlfajlddngkoah
• eoimljninkkepafoijpgbedkkieobfek
• ojmaccnnagaiokckbcpdldhnifkibcah
• bhoebgegnjoehioianjnjakeeggajanb
• edojphplonjclmfckdiolpahpgcanjnh
• leaglmohfmgdengbciphnodmcgfgdgnf
• ljdhejdbbogemelgkihbabifpfdfomcc
• hfokkkgobhlkcagflcbgcokdbnknfngo
• hilgkhepkfjdkkdigphhcgmghefdledg
• jipclfaahkhinbelbojjblmbcpkaipko
• cmckpheolajgbmhlfhgelajhhfgjbhpk
• jjdhjfgoadphekgihokkigfghndfmffb
• nelegdbdfopcgkignnifhdoiapldlhpf
• dnojfjfegklgconkoekfkaajejmdgdkj
• nnceocbiolncfljcmajijmeakcdlffnh
• dacliiapfipnlipdmifioaijepgmhdga
• cpbbiepjnljbnngpepgeaojjeneacpld
• ocopipabchoopeppmgiigphgbicocoea
• gfechfioaanebemclajhfgkfaopcaibo
• hoclolhilhbecpefaignjficiaaclpop
• ibmdocjlknaopfecmnojomdlbeadpdnb
• ckdbfeccfocmhdclmmofmheljglmhhne
• gddkghdkhhlihaabphhnjbhdoiifhcpa

Firefox – Shady Panda

• {34b0d04c-29cf-473c-bb6c-c2fe94377b99}
• {7cc10397-c6f4-4a27-a1e7-83b870dd6cab}
• nickyfeng2@edgetranslate[.]com
• 1305302314@qq[.]com
• mail@imba97[.]cn
• {99d4bddd-5452-4216-83bc-fcd57857b6fb}
• {f7d2c8aa-e06e-4117-8b99-52a145eb7d23}
• {5f246670-f5e2-45ff-b183-be21cbeb065a}
• {c257a965-0bf8-4934-bf85-9ebf761d1cf8}

Opera – GhostPoster

• charliesmithbons作のGoogle™ Translate