Googleは、ポリシー経由でインストールされた拡張機能が新規タブページを乗っ取ったり、デフォルトの検索エンジンを変更したりするのをブロックする新たなChromeセキュリティ機能を準備しています。
BleepingComputerは、作業中のChromium Gerritの一連の変更の中にこの保護機能を発見しました。まだ実装されてはいませんが、Googleはこれらの変更が承認され次第、デフォルトで有効化する計画です。
Googleに勤務するAnunoy Ghosh氏は投稿の中で次のように述べています。「低信頼環境(管理されていない一般消費者向けデバイス)では、企業ポリシーによる強制インストールや推奨機能が悪用され、検索エンジンや新規タブページの乗っ取りを固定化する手口が使われています」。
「このCLはkBlockDseNtpOverrideExtensionsOnUnmanagedDevicesという機能フラグをデフォルトで有効にし、管理されていないWindowsおよびmacOSデバイス上でエンドツーエンドのブロック防御を作動させます」
現在のところ、Chromeは組織が企業ポリシーを使って拡張機能を強制インストールし、ブラウザ設定を制御できるようにしています。
ドメインやモバイルデバイス管理システムに接続された適切に管理下にある業務用デバイスであれば、この機能自体は特に問題にはなりません。しかしマルウェアが、一般消費者向けPC上で同じ機能を悪用するケースが確認されています。
悪意あるプログラムは、ユーザーの許可なくローカルのChromeポリシーキーを追加し、新規タブページを差し替えたり、検索エンジンを変更したり、検索結果を不審なウェブサイトへリダイレクトしたりする拡張機能を強制インストールできてしまいます。
これによりChromeは、その拡張機能が管理者によってインストールされたものだと認識してしまい、ユーザーが削除や無効化を行えなくなる場合があります。
実際には組織によって所有・管理されていないPCであるにもかかわらず、Chromeが「組織によって管理されています」という紛らわしいメッセージを表示するケースもあります。
Googleはこうした一般消費者向けPCを「低信頼」環境と表現しています。これは、ChromeがドメインやMobile Device Management(MDM)サービスといった信頼できる機関からの確認を経ずに、ローカルに保存されたポリシーを読み込んでしまうためです。
今回提案されている保護機能では、Chromeは新規タブページやデフォルトの検索エンジンを上書きするポリシー制御下の拡張機能のインストールをブロックするようになります。
インストールはキャンセルされ、Chromeはその拡張機能IDをブロック済み拡張機能の設定に保存します。
さらにChromeは、今後のポリシーチェック時に同一のブロック済み拡張機能をダウンロードしようとするのを停止するため、繰り返されるインストール試行や不要なネットワーク通信を防止できるようになります。
Googleはマルウェアが使う別の手口にも対処
ユーザーが手動でインストールした拡張機能が、ロックされたポリシー制御下の拡張機能に変換されてしまうことはなくなります。ユーザーの管理下に留まるため、引き続き無効化や削除が可能です。
以前は管理下にあったデバイスが信頼された管理ステータスを失っても、ローカルのポリシーキーが残っている場合、Chromeは影響を受ける新規タブおよび検索エンジン上書き拡張機能を自動的にアンインストールするようになります。
Googleは、こうしたポリシーベースの乗っ取りがどの程度の頻度で発生し、Chromeがどの程度の頻度でこれをブロックしているかを測定するための指標を追加する予定です。
正当な管理者に対しては、必須の企業向け拡張機能が新規タブページや検索エンジンを上書きする必要がある場合に、この保護機能を無効化できる「エスケープハッチ」ポリシーも提供される予定です。
Gerrit上の変更は現在もレビュー中であり、この機能はまだ安定版のChromeでは利用できません。
攻撃者に先んじて、すべての防御層をテストする
セキュリティチームが検知に成功する攻撃はわずか54%で、アラートが上がるのは14%にすぎません。残りは環境内を気づかれないまま移動しています。
Picusのホワイトペーパーでは、breach and attack simulation(侵害・攻撃シミュレーション)がSIEMやEDRのルールをどのようにテストし、検知をすり抜ける脅威を防ぐのかを解説しています。
