今回の調査結果は、既存のエンドポイント対策やネットワーク管理が、ブラウザ内で発生する不正活動を十分に可視化できているかという疑問を投げかけています。
攻撃者は、正規のパブリッシャーからかつて正当だったブラウザ拡張機能を買収した上でマルウェア化し、すでにその拡張機能を安全な状態でインストールしていたユーザーにも悪意あるアップデートが届く可能性を生み出していたことが、Socketの研究者らの調査で明らかになりました。
今回のキャンペーンには、Google ChromeおよびMicrosoft Edge向けの19個の拡張機能が関与していました。Socketによると、そのうち5個はもともと正規のパブリッシャーによって開発されたもので、後に攻撃者が買収していました。残る14個は脅威アクター自身が作成したものですが、公開当初はマルウェアを含んでいませんでした。
この調査結果は、ユーザーや企業にとって発見が難しいセキュリティ上の問題を浮き彫りにしています。インストール時には安全に見えた拡張機能でも、所有権の移転やソフトウェアのアップデートを経て性質が変わる可能性があります。一方で既存ユーザーは、以前下した「信頼できる」という判断を見直す機会がほとんどありません。
このリスクをさらに深刻にしているのが、Chromeの拡張機能アップデートの仕組みです。インストール済みの拡張機能は通常自動的に更新されるため、後続のリリースに悪意あるコードが追加されても、ユーザーが別途アプリケーションをダウンロードしたり拡張機能を再インストールしたりすることなく、そのコードが届いてしまいます。
Socketが調査した拡張機能の一つに、「Enable Right Click & Copy — Smart Unlock + OCR」があります。悪意あるコードが追加された時点で約70,000人のユーザーがいました。この拡張機能はもともとPreppHintによって開発され、その後脅威アクターに買収されていました。関連するEdge版拡張機能には約10,000人のユーザーがいました。Socketは、この数字はマルウェアが及ぶ可能性のある範囲を示すものであり、すべてのユーザーが感染バージョンを受け取ったことを裏付けるものではないとしています。
インストールされると、このマルウェアは攻撃者が管理するインフラと通信し、追加のJavaScriptペイロードを受け取ることができました。Socketの調査によると、ブラウザで開かれたウェブサイトからContent Security Policy(CSP)ヘッダーを削除できるため、ユーザーが閲覧するページ内で攻撃者が用意したコードを実行できる状態を作り出していました。
今回のキャンペーンは仮想通貨の窃取に重点を置いていましたが、その能力はそれにとどまりませんでした。Socketは、ウェブフォームに入力された情報を取得したり、アクティブなブラウザセッションから認証情報を抜き取ったりするコードを確認しています。他のモジュールは、ログイン中のソーシャルメディアアカウントを標的にしたり、ブラウザの閲覧履歴を収集したりしていました。
Socketは、DomainToolsが以前に記録していた活動との類似点から、この拡張機能を2024年2月にまでさかのぼるより大規模な作戦と関連付けています。研究者らによると、このマルウェアの設計により、攻撃者は感染したブラウザに配信するペイロードを後から変更できるようになっていたということです。
拡張機能がサプライチェーンリスクになる
Confidisの創業者兼CEOであるKeith Prabhu氏によると、今回のキャンペーンは、企業がブラウザ拡張機能の承認を一度きりのセキュリティ判断として扱えなくなっていることを示しているといいます。
「CISOは、ブラウザ拡張機能を静的な生産性向上ツールとしてではなく、絶えず変化するサードパーティ製ソフトウェアとして扱うべきです」とPrabhu氏は述べています。「組織は、ブラウザ拡張機能に対する『インストール時の承認』から『ライフサイクル全体の保証』へと発想を転換する必要があります」
つまり、セキュリティチームは、特に所有権が変わったり新しいバージョンがより広範な権限を要求してきたりした場合に、導入後も拡張機能を再評価する必要が出てくるということです。コードやパブリッシャーの身元に変化があれば、その拡張機能が最初に承認された時点とは異なるリスクプロファイルを持つようになったことを示す早期警告となり得ます。
Omdiaでマネージドセキュリティサービスを担当するシニアアナリスト、Jonathan Ong氏は、この手口を悪意あるモバイルアプリを使った攻撃になぞらえています。そうした攻撃では、まずクリーンな初期バージョンで承認を得た上で、後のアップデートで有害なコードが仕込まれるということです。
この類似性は、アプリケーションや拡張機能がアップデートを受け取り始めた後は、公式ソフトウェアマーケットプレイスによる承認を、安全性を長期にわたって保証するものとして扱うべきではないことを示唆しています。
Prabhu氏はさらに、機密性の高い企業サイトへの拡張機能のアクセスを制限すること、また拡張機能が発生させるネットワーク接続やデータ活動を監視することも推奨しています。
ブラウザの可視性は依然として限定的
今回の攻撃は、企業のセキュリティチームが抱える可視性の問題も浮き彫りにしています。エンドポイントやネットワークにすでに導入されているツールは、攻撃の一部を検知できたとしても、悪意ある拡張機能がブラウザ内部で何をしているかまでは必ずしも把握できません。
「EDR、SWG、SASE、そしてマネージドブラウザは価値のあるものですが、これらの管理策単体では、拡張機能レベルでのDOMアクセス、CSPの改ざん、スクリプトインジェクション、トークンの窃取について信頼できる可視性を提供できません」とPrabhu氏は述べています。
このギャップにより、従業員が拡張機能に大きく依存している環境ではブラウザのテレメトリの重要性が増します。特に、悪意ある挙動がエンドポイント上で稼働する一般的な実行ファイルを介してではなく、認証済みセッションの内部で発生する場合には、その重要性はなおさらです。
MDRサービスは、ブラウザのテレメトリを監視に組み込むことで、このギャップを埋める助けになり得るとOng氏は述べています。
これにより、防御側はCSP保護の解除を試みる挙動や、これまで信頼されていなかったドメインとのWebSocket接続の確立といった、拡張機能の不審な挙動を検知できるようになる可能性があるとOng氏は付け加えています。
対応には封じ込めが不可欠
Prabhu氏は、影響を受けたシステムに悪意あるバージョンが存在していた期間の特定、アクティブなセッションおよびリフレッシュトークンの失効、そして漏えいした可能性のある認証情報やその他の機密情報のローテーションを推奨しています。インシデント対応担当者はまた、アカウントの不正利用や不正なデータアクセスの兆候がないか、ブラウザ、ネットワーク、ID管理、SaaSの各ログを調査する必要もあります。
特に機密性の高い企業データや個人情報が漏えいしていた可能性がある場合には、この拡張機能がどのような情報にアクセスできていたのかを調査で明らかにする必要も出てきます。
Ong氏はさらに、一部のMDRプロバイダーは、こうしたインシデント発生後にデータ漏えいの範囲を特定する支援ができると付け加えています。この評価は、企業が事業を展開する法域において、この侵害が情報漏えい通知やその他の規制上の義務を発生させるかどうかを判断する助けになり得るとOng氏は述べています。
Prasanth Aby Thomasは、半導体、セキュリティ、AI、電気自動車を専門とするフリーランスのテクノロジージャーナリストです。DigiTimes Asiaやasmag.comをはじめとする媒体に寄稿しています。
それ以前は、Reutersのエネルギー部門担当特派員を務めていました。さらにその前には、International Business Times UKの特派員として、アジアおよび欧州市場とマクロ経済動向を取材していました。
Bournemouth Universityで国際ジャーナリズムの修士号、Loyola Collegeで視覚コミュニケーションの修士号、Mahatma Gandhi Universityで英語の学士号をそれぞれ取得しているほか、National Taiwan Universityで中国語を学んでいます。
