偽VPN拡張機能、Chromeトラフィックの中間者攻撃(AiTM)を可能にする操作者ポジションを構築

Chromeウェブストアを舞台とした、ある不正操作が明らかになりました。「無料VPN」を謳う拡張機能を、単一のプロキシプロバイダーが管理するブラウザ全体のトラフィック中継装置に変えてしまうというものです。

このキャンペーンは、少なくとも40の開発者アカウントによって公開された737個の拡張機能で構成されており、うち274個は66の著名なVPN・プライバシーブランドになりすましています。

これらのリスティングは合計75,486件(概算)のインストールを記録しており、データ収集時点では516個が公開状態を維持し、58,318件のインストールに相当していました。

問題の核心は、正規の製品でも利用され得るブラウザプロキシAPIを悪用した欺瞞的な手口にあります。取得した522個のパッケージのうち520個が、chrome.proxy.settingsをポート1082の固定SOCKS5エンドポイントに設定しており、バイパスされるのはループバックアドレスのみでした。

被害者がConnectボタンを押すと、それ以降のブラウザの通信先はすべて、分割トンネリングなしで操作者管理下のインフラを経由するようになります。

この構成により、操作者は事実上、中間者攻撃(AiTM)のポジションを手にすることになります。送信元IP、宛先、TLSのSNIメタデータを観測できるほか、平文HTTPで送信された通信については、入力された認証情報を含めて内容を丸ごと読み取ることが可能です。

Socketが観測したのはクライアント側のコードのみであり、プロキシインフラが実際にトラフィックを保持・改ざん・窃取したと断定しているわけではありません。

ただ、明白に言えるのは、プライバシー保護を求めていたユーザーが、知らぬ間に自身のセッションを非開示の仲介者にさらしていたという事実です。

このキャンペーンは主に、Instagram、ChatGPT、YouTubeといったブロックされたプラットフォームへのアクセスを試みるロシア語圏のユーザーを標的に仕立てられています。

Socketの研究者が発見したところによると、調査対象となった734個の拡張機能のうち690個が、キリル文字によるブランディングや説明文を使用しているか、あるいはブロック対象サービスへの言及を含んでいました。

操作者たちは信頼そのものも直接的に悪用していました。なりすましの対象となったブランドには、Proton VPN、NordVPN、Surfshark、ExpressVPN、Cloudflareの1.1.1.1、AmneziaVPN、AntiZapretが含まれています。

あるリスティングには、ジャーナリストのYuriy Dud氏による推薦であるかのような記載も見られましたが、実際に本キャンペーンとの関連は確認されていません。

偽VPN拡張機能

104個の拡張機能では、コードがCloudflareまたはGoogleのDNS over HTTPS経由でプロキシのドメインを解決した上で、Chromeには生のIPアドレスのみを渡していました。

この手法により、操作者のドメインに対する平文でのDNSルックアップが隠蔽され、検知が困難になります。さらに66個のパッケージは、HTTPリダイレクト処理とリモート設定を用いて、インストール後に稼働中のインフラを探索する仕組みを備えており、これにより操作者はストアの更新を経ることなく、ランディングページや設定エンドポイントを移動させることができます。

有料プランについても欺瞞的な実態が見られました。日本、シンガポール、カナダ、オーストラリア、トルコ向けとして宣伝されていたテスト対象の有料ホスト名200件はすべて、有料ロケーションと謳われているにもかかわらずAレコードを一切返しませんでした。

あるコード世代では、空でないライセンス文字列であれば何でもプレミアムチェックを通過してしまう一方、拡張機能側はそのようなキーをストレージに書き込むことすら行っていませんでした。

Socketはまた、承認後のコード差し替えについても文書化しています。49個の拡張機能が、権限変更を伴わないままリモート設定機能を追加する更新コードを受け取っており、これはレビュー時点での安全性確認を骨抜きにする手口です。

インフラおよび埋め込まれた文字列から、この一連の拡張機能群はMyxa VPN(「Муха VPN」)というサブスクリプション事業とつながっていることが分かります。

Socketは360個のパッケージにサプライヤー関連の記述を発見したほか、共通の分析用識別子、クラスター化されたドメイン登録、そしてmyxa-workというディレクトリを参照するビルドパスも確認しています。

これらの証拠は、共通の運営管理体制が存在することを裏付けるものですが、国家の支援があることや特定の個人が関与していることまでは立証していません。

Googleはすでに221個の拡張機能を削除していましたが、データセットの収集時点でも516個が依然として公開されたままでした。

Palo Alto Networksは以前にも、15個のハードコードされたSOCKS5サーバー経由でトラフィックを送信する、より小規模な偽VPN拡張機能のクラスターを報告しており、これはより広範なマーケットプレイス悪用のパターンを示す事例といえます。

ユーザーは、不審なVPNアドオンを削除し、Chromeのプロキシ設定を確認するとともに、該当の拡張機能が有効だった間にHTTPページで入力した認証情報をローテーションすべきです。

組織側は、プロキシへのアクセスを要求する拡張機能、固定のSOCKS5:1082設定、DoH解決の呼び出し、Myxa関連インフラの有無をハンティングすべきです。

その規模の大きさ、ブランドを横断した組織的な悪用、そしてレビュー回避の痕跡といった特徴から、本件は極めて重大な影響を及ぼすものと言えます。

侵害指標(IOC)

注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無効化表記(例: [.])としています。有効な形式への復元は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤内でのみ行ってください。

【ライブウェビナー】Elastic&UnderDefenseと共に、小規模セキュリティチームがAI可視化とエージェント型対応を単一の運用モデルへ統合する方法を学びましょう。-> 今すぐ登録