Google ChromeおよびMicrosoft Edge向けの複数の拡張機能が、暗号資産や機密データ、ブラウザ履歴を盗み出すモジュールを展開し、さらにClickFix詐欺への誘導も仕込むマルウェアフレームワークを配布していたことが分かりました。
研究者によると、今回のキャンペーンで発見された16種類の悪意あるモジュールはそれぞれ異なる役割を担っており、「高い拡張性」を持つよう設計されているとのことです。
この不正な活動を発見したのはアプリケーションセキュリティ企業のSocketで、調査によれば2024年初頭から活動していた可能性があるとされています。
Socketの発表によれば、当初Chrome Web Storeに公開された時点では、これらの拡張機能の多くは宣伝どおりの機能を提供しており、マルウェアは含まれていませんでした。
研究者によると、このうち5つの拡張機能は元々の開発者から買収され、自動配信されるアップデートを通じてマルウェアが仕込まれたとされています。
その一例が「Enable Right Click & Copy — Smart Unlock + OCR」という拡張機能です。これは今回のキャンペーンの中でChromeとEdgeの両方に対応していた唯一の拡張機能で、悪意ある挙動に転じた時点でChromeでのユーザー数は少なくとも70,000人に達していました。当時のEdgeでのインストール数は10,000件でした。
Googleはこの脅威を早期に検知し、自社のアドオンマーケットプレイスから当該拡張機能を削除しましたが、Socketがレポートを公開した時点では、Edge版はまだ公開されたままでした。
インストールされると、このマルウェアは指令サーバー(C2)との間で暗号化されたWebSocket接続を確立し、JavaScriptモジュールをダウンロードして、閲覧するすべてのウェブサイトからコンテンツセキュリティポリシー(CSP)ヘッダーを取り除き、隠されたHTML要素を通じて悪意あるスクリプトをウェブサイトに注入します。
Socketは、以下のような機能を持つマルウェアモジュールを確認しています。
- 正規の「Connect Wallet」ボタンや「Swap」ボタンを乗っ取り、EVM、Solana、Tronのウォレットから資産を抜き取る
- LedgerやTrezorの公式サイトを、本物そっくりのシードフレーズ詐取用フィッシングページに差し替える
- Coinbase、Binance、Kraken、OKX、MEXC、KuCoin、Bybit、MetaMaskからセッション情報、トークン、アカウントデータ、残高を窃取する
- 各種ウェブサイト上で認証情報やフォーム入力内容を記録する
- FacebookおよびLinkedInのアカウント情報を収集する
- ブラウザの閲覧履歴を外部に送信する
- ClickFix形式の偽のブラウザ更新通知を表示し、被害者に攻撃者が用意したコマンドを実行させようとする
Socketは、この悪意あるフレームワークには他にもモジュールが存在する可能性があり、マルウェアが今後進化するにつれて新たなペイロードが展開されることが予想されると警告しています。
本記事の公開時点で、これらの悪意ある拡張機能はいずれもChrome Web Storeでは公開されていません。
Socketのレポートには、今回のキャンペーンで発見された拡張機能IDの全リストと、C2通信に使用されたドメインが掲載されています。
これらの拡張機能のいずれかをインストールしていたユーザーは、自身の認証情報がすでに漏えいしているものとみなし、ログインパスワードを変更することをお勧めします。
今回のキャンペーンの影響を受けた可能性がある暗号資産保有者は、できるだけ早く新しく作成したウォレットへ資産を移すことが推奨されます。
