調査により、Google Chrome向けに18個、Microsoft Edge向けに1個、合計19個の悪意ある拡張機能が確認されました。これらはモジュール型のマルウェアフレームワークを使用し、ウェブサイトのコンテンツセキュリティポリシー（CSP）による保護を解除した上で、攻撃者が制御するJavaScriptを注入します。
Socketの調査によると、14個の拡張機能は脅威アクターによって作成されたもので、残り5個は正規の開発者から取得された後に悪用されたものでした。
最も影響が大きい事例は「Enable Right Click & Copy Smart Unlock + OCR」で、当初はPreppHintによって開発されましたが、後にこの脅威アクターに買収されました。
今回確認された拡張機能群にはSEOツール、暗号資産の価格トラッカー、画面検索ユーティリティ、広告監視ツール、右クリック有効化ツールなどが含まれています。
悪意あるアップデートが導入された時点で、この拡張機能の利用者数は約70,000人に達していました。関連するEdge版「Allow Copy – Select & Enable Right Click」の利用者数は約10,000人で、両者を合わせると最大で80,000件のインストールが影響を受けた可能性があると推定されています。
Socketによれば、Chrome版の悪意あるリストは削除されたものの、Edge版は本調査の公開時点でも稼働中で、2026年8月14日のアップデートで新たなC2ドメインを受け取っていたとのことです。
これらの悪意ある拡張機能は、バックグラウンドのサービスワーカーを利用して、コマンド&コントロール（C2）インフラとの間に暗号化されたWebSocketチャネルを確立します。
各インストールにはUUIDが割り当てられ、ダウンロードされるJavaScriptモジュールは拡張機能IDとインストールUUIDから導出された鍵を使い、AES-GCMで暗号化されます。
このフレームワークは通常5分間隔でハートビート接続を維持しており、C2の切り替え指示も受け付けられます。これにより攻撃者は被害者を別のバックエンドサーバーへ移動させたり、インフラをセグメント化したり、被害者ごとに異なるデータ持ち出し先を割り当てたりすることが可能になります。
このペイロード構造が特に懸念されるのは、インストール後に新しいモジュールをダウンロードできる点です。これにより脅威アクターは、見た目に不審な静的パッケージの更新を公開することなく、目的を変更できてしまいます。
この手口は、2024年2月に遡る悪意あるChrome拡張機能を記録したDomainToolsの過去の調査結果と共通しています。
一見正規に見える機能と、リモートからのコード取得、任意のスクリプト実行、広範なブラウザ権限、持続的なバックエンド通信を組み合わせている点も同様です。
DomainToolsはまた、CSP制御を回避または弱体化させるために設計されたDOMイベントハンドラの手法も確認しています。
Socketが「Superior」として追跡している今回の悪意あるブラウザ拡張機能は、一見正規に見えるユーティリティ拡張機能を悪用する手口です。当初は謳い文句どおりの機能を提供し、その後のアップデートで悪意あるコードを導入します。
ChromeとEdgeの拡張機能
起動時、悪意あるサービスワーカーは動的なdeclarativeNetRequestルールを作成し、メインフレーム、サブフレーム、XMLHttpRequest全体にわたってContent-Security-Policy、Content-Security-Policy-Report-Only、X-WebKit-CSP、X-Content-Security-Policyの各レスポンスヘッダーを除去します。
CSPは通常、ウェブサイトが読み込めるスクリプトやリソースを制限し、クロスサイトスクリプティングやコンテンツインジェクションの緩和に役立っています。これを解除することで、拡張機能は攻撃者提供のコードが標的サイト上で実行される経路を開いてしまいます。
このマルウェアはさらに、コンテンツスクリプトとChrome拡張機能APIを使って、chrome.storage.localから暗号化されたモジュールを取得します。
新しいサンプルでは、chrome.scripting.executeScriptを通じて動的にスクリプトを注入しており、静的なワイルドカードのコンテンツスクリプト宣言に伴う可視性を低減しています。
ウェブページのメイン実行環境に踏み込むため、これらの拡張機能は<input>、<img>、<form>などの非表示DOMオブジェクトを作成し、悪意あるイベントハンドラを付与してプログラム的にイベントを発火させ、直後にその痕跡を削除します。
この手法により、注入されたコードは被害者サイト自身のJavaScriptと同じDOMコンテキストにアクセスできるようになります。
Socketは16個のモジュールを確認しており、その中心となるのはEVM、Solana、Tronの各ウォレットを検知する複数チェーン対応のウォレットドレイナーです。
このペイロードは、cookie-whitelist[.]topやwhale-alert[.]artなどのドメインからチェーン固有の第2段階コードを取得し、正規の「Connect Wallet」ボタンや「Swap」コントロールを乗っ取ります。
ボタンを複製し、元のハンドラを削除して悪意あるハンドラを付与することで、攻撃者は被害者を資産窃取を承認させる接続・承認フローへと誘導できます。
他のモジュールは、ピクセル単位で作り込まれたDOM乗っ取りと、ggle-analytics[.]comから配信される偽のアップデートページを使い、LedgerやTrezorのリカバリー手続きになりすまします。
被害者は12語、18語、または24語のリカバリーフレーズの入力を求められ、これによりウォレットが完全に侵害されてしまいます。
このツールキットはさらに、Binance、Coinbase、Kraken、KuCoin、OKX、MEXC、Bybit、MetaMaskの認証済みセッションも標的にしています。
各モジュールは、Cookie、ベアラートークン、アカウント情報、残高、閲覧履歴、ソーシャルメディアのトークン、ウェブフォームに入力された認証情報を収集していることが確認されています。
ClickFix型の偽アップデートモジュールは、攻撃者が用意したコマンドをクリップボードにコピーし、被害者にローカルで実行するよう指示することも可能です。
今回のキャンペーンは、拡張機能への信頼を永続的なものとして扱うべきではないことを改めて示しています。
Chromeは起動時、および数時間ごとに定期的に拡張機能のアップデートを確認し、拡張機能がアイドル状態になった時点でインストールを実行します。このデフォルトの仕組みによって、悪意あるアップデートが既存の利用者基盤に急速に広がる可能性があります。
各組織は、ブラウザ拡張機能の棚卸しを行い、承認済みの発行元にインストールを制限し、所有権や権限の変更を監視し、広範なホスト権限やネットワークヘッダーの変更権限を要求する拡張機能を調査すべきです。
ユーザーは、今回確認された拡張機能IDを直ちに削除し、もし不審なブラウザのプロンプトにウォレットの認証情報やリカバリーフレーズを入力してしまった場合は、それらを速やかに変更してください。
IOC（侵害指標）
| # | ドメイン |
|---|---|
| 1 | active-enable-right-click[.]top |
| 2 | api[.]enable-right-click[.]click |
| 3 | enable-right-click[.]click |
| 4 | payload[.]siteinsight[.]bond |
| 5 | api[.]extensionanalyticspro[.]top |
| 6 | password-protect-pdf[.]com |
| 7 | privatecryptonewsreader[.]pro |
| 8 | cryptoratesfiatconverter[.]pro |
| 9 | cryptopricebadgequickglance[.]pro |
注記： IPアドレスおよびドメインは、誤ってアクセスされたりハイパーリンク化されたりすることを防ぐため、意図的に無害化（例： [.]）してあります。再有効化は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤上でのみ行ってください。
★ どのセキュリティツールを削減すべきか？1ページでスコア化 – 継承したセキュリティスタックガイドをダウンロード
翻訳元: https://gbhackers.com/chrome-and-edge-extensions/
