研究者らは、類似したコード、インフラ、手口を共有する18個の悪質なGoogle Chrome拡張機能と、1個のMicrosoft Edge拡張機能を特定しました。
Socketはこの活動を「Superior」キャンペーンとして追跡しています。これは2024年2月にDomainToolsが最初に報告し、その後Secure Annexが分析したマルウェア活動と関連しているとみられます。
このキャンペーンは、一見正当に見えるブラウザツールへの信頼を悪用するものです。標的となった拡張機能は、SEO統計、暗号資産価格の監視、画面検索ツール、広告スパイ、コピー解除ユーティリティといった機能を謳っていました。
最初に公開されたバージョンはクリーンで、謳われていた機能を実際に果たしていました。しかし、ユーザーベースを構築した後、攻撃者は悪質なコードを密かに追加したアップデートをリリースしました。
Socketによると、14個の拡張機能は脅威アクター自身が作成したものであり、残る5個は正規の開発者から譲り受けたものとみられています。
影響が最も大きいとみられる拡張機能は「Enable Right Click & Copy Smart Unlock + OCR」です。これはもともとPreppHintが開発したもので、後に攻撃者に譲渡されました。
悪質な挙動が組み込まれた時点で、このChrome拡張機能のユーザー数は約70,000人に達していました。Edge版のユーザー数も約10,000人おり、合わせて最大80,000件のインストールが影響を受けた可能性があります。
これは、すべてのユーザーが悪質なバージョンを受け取ったことを意味するわけではありませんが、ブラウザ拡張機能は通常自動的に更新されるため、攻撃者は有害なアップデートを迅速に広めることができます。
GoogleはChromeウェブストアから悪質なChrome版を削除しました。しかしSocketによると、Edge版は削除されないまま公開が続いており、報告時点でもマルウェアの配布が続いていたとのことです。
Chrome版のストア掲載が削除された後、攻撃者は2026年8月14日に新たなコマンド&コントロール(C2)ドメインを使ってEdge版拡張機能を更新したとされています。
このマルウェアはバックグラウンドのサービスワーカーを使い、C2サーバーとの永続的なWebSocket接続を確立します。被害者ごとに固有の識別子を生成してchrome.storageに保存し、攻撃者から暗号化されたJavaScriptモジュールを受け取ります。
このフレームワークはC2エンドポイントをローテーションしたり、被害者ごとに別々の窃取先サーバーを使い分けたりすることも可能で、検知や対処をより困難にしています。
主要な手口の一つが、被害者が訪れたウェブサイトからContent Security Policy(CSP)ヘッダーを剥ぎ取ることです。CSPは、ページ上でどのスクリプトやリソースを実行できるかを制限するブラウザのセキュリティ機構です。
これを除去することで、悪質な拡張機能は攻撃者が制御するJavaScriptを標的サイトに注入できるようになります。注入されたペイロードは、Ethereum互換ウォレット、Solanaウォレット、Tronウォレットを検出できます。
これらは正規の「Connect Wallet」や「Swap」ボタンを乗っ取り、そのイベントハンドラーを差し替えることで、被害者をだまして悪質なトランザクションを承認させることができます。
その他のモジュールはLedgerやTrezorのリカバリページやアップデートページになりすまし、被害者に12語、18語、あるいは24語のシードフレーズを入力させようとします。攻撃者は盗んだシードフレーズを使えば暗号資産ウォレットを完全に掌握できると、Socketは述べています。
汎用的なフォーム窃取モジュールは、あらゆるウェブサイトでテキスト、メールアドレス、パスワードの入力内容を記録します。これとは別のモジュールが、Facebookのトークン、LinkedInのセッション、ブラウザ履歴を狙います。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/rogue-extensions-steal-wallets/
