ハッカーがPEEP Chrome拡張機能を使って認証情報を窃取し、シェルコマンドを実行

PEEPと名付けられた新種のChromiumベースのポスト・エクスプロイテーション・ツールキットが確認されました。Google ChromeやMicrosoft Edgeを永続的なリモートアクセス基盤に変貌させ、攻撃者がブラウザデータを窃取し、セッションを乗っ取り、ファイルを管理し、侵害されたエンドポイント上でシェルコマンドを実行できるようにするものです。

MasterCoding Skills

一般的な初期侵入型マルウェアとは異なり、PEEPを利用するには攻撃者があらかじめ標的マシンに対する管理者権限、あるいはコード実行権限を保持している必要があります。

しかし、一度インストールされると、ブラウザ上で長期的な永続性を確立し、Chrome Native Messagingを通じてブラウザからオペレーティングシステムへとその影響範囲を拡大します。

PEEPは、オープンソースのRedExtフレームワークから派生したモジュール式のブラウザRATです。RedExtはManifest V3拡張機能とFlaskベースのコマンド&コントロール(C2)アーキテクチャで構成され、本来は認可されたレッドチーム演習向けに公開されたものでした。

RedExtは、Cookie抽出を含むブラウザ情報収集機能や、閲覧履歴の収集、スクリーンショット、クリップボードのキャプチャ、DOMスナップショット、ローカルストレージの収集、ブラウザの偵察機能などをサポートしています。

PEEPはこのモデルを拡張し、より実戦的なポスト・エクスプロイテーション・ツールキットへと発展させています。

この悪意ある拡張機能はChromeまたはEdgeのサービスワーカーとして動作し、リモートのFlashとSQLiteによる管理パネルと通信を行いながら、定期的にブラウザのテレメトリ情報を収集します。

攻撃者はこれにより、セッションCookie、閲覧履歴、開いているタブの詳細情報、ブックマーク、ダウンロード履歴、DOMコンテンツ、ローカル/セッションストレージ、クリップボードデータ、スクリーンショット、フォームフィールドなどを収集できるとされています。

この拡張機能は、Cookie、タブ、履歴、ダウンロード、スクリプティング、プロキシ設定、ネイティブメッセージング、すべてのHTTPおよびHTTPSオリジンへのアクセスなど、広範な権限を要求します。

これにより、マルウェアは侵害されたブラウザプロファイル上で行われるほとんどのWeb活動を可視化できてしまいます。

重要な点として、PEEPはChromeに保存されているパスワードデータベースを直接抽出することはありません。

SOCRadarの脅威リサーチユニット(STRU)がPEEPを発見しました。同拡張機能は「Smart Bookmarks」という無害なChrome拡張機能を装っていました。

その代わりに、Webフォームからパスワードらしきフィールドを収集し、セッションCookieを窃取することが可能です。これにより、パスワードが多要素認証で保護されている場合でも、攻撃者が認証済みセッションを再利用できてしまう恐れがあります。

PEEP Chrome拡張機能

最も深刻な機能は、PEEPのネイティブメッセージング・ブリッジです。この拡張機能はcom.peep.labとして登録された随伴実行ファイルnm_host.exeと通信を行い、ブラウザ発のタスクをChromiumのサンドボックス外で実行できるようにします。

PEヘッダーの TimeDateStamp が 2022年7月 を示しているのは、ベースとなったpkgのNodeイメージに由来するもので、実際のビルド日を反映したものではありません。

この仕組みを通じて、脅威アクターはシェルコマンドの実行、実行中のプロセスやサービスの列挙、ディレクトリの一覧表示、ファイルの読み書き、機密文書の検索、フォルダの作成、ファイルのリネーム、ハッシュの計算、パスの削除などを行うことができます。

この活動はあくまで侵害されたユーザーのセキュリティコンテキスト内で行われるため、それ自体が権限昇格をもたらすわけではありません。

Securityscans service

しかし、これによってブラウザ拡張機能は、監視、認証情報窃取、ホストレベルの制御を実現するための実用的なエンドポイント侵入拠点へと変貌します。

このエージェントは、暗号化されていないHTTP経由で30秒ごとにコマンドサーバーへ接続し、感染したブラウザを登録し、タスクをポーリングして、収集したデータやコマンドの実行結果を送り返しているとされています。

平文のHTTPを使用していることは、さらなる露見の可能性も生んでいます。防御側が十分なプロキシ、DNS、ネットワークのテレメトリを持っていれば、不審なリクエストパターンやヘッダー、C2トラフィックを識別できる可能性があるからです。

PEEPは、通常のChromeウェブストアからのインストールを経なくても拡張機能を稼働させ続けられるよう、複数の永続化メカニズムを備えています。

そのデリバリースクリプトは、Chromiumの「Secure Preferences」の整合性値(エントリごとのHMAC保護や最上位のsuper_macを含む)を操作でき、改ざんされた拡張機能の設定がブラウザにとって正規のものに見えるようにします。

このツールキットはさらに、エンタープライズの強制インストールポリシー設定、外部からのサイドローディング、ScriptCacheを利用したフォールバック手法も使用できます。

後者の手法を用いると、目に見える拡張機能ファイルが無害に見える内容に置き換えられた後でも、コンパイル済みの悪意あるManifest V3サービスワーカーを温存できるため、手動によるレビューが困難になります。

SOCRadarの報告によると、PEEPのインフラは香港のCloudie Limitedに関連付けられたIPアドレス206.237.30[.]232をハードコードして使用していました。

同じホストはC2活動、ペイロードの配布、さらにTCPポート5002上で公開状態にあった開発リポジトリの管理も担っていたとされています。

研究者らは、この公開されていたディレクトリ内で、ソースコード、ビルド、ログ、ユーティリティ、そして主要な拡張機能の身元に関連する秘密鍵を発見しました。

防御担当者は、Chrome/Edgeの拡張機能一覧を確認し、「Smart Bookmarks」という名称や、特にejkndncpkdcjcikfhiamcdehdoegilbjおよびbibjjhidpdmfcbkodddndmoejcloobdhといった不審な拡張機能IDが存在しないか点検すべきです。

セキュリティチームはまた、Chrome/EdgeのNativeMessagingHostsレジストリパスを含め、com.peep.labのネイティブメッセージングホスト登録を調査すべきです。

Securityscans service

ネットワークチームは、206.237.30[.]232へのHTTP接続、ドメインxfjcc[.]fun、そして30秒間隔で繰り返されるビーコンパターンを探索できます。

エンドポイント防御担当者は、Chromeの環境設定を書き換える不審なPowerShellの動作、エンタープライズ拡張機能ポリシー、外部拡張機能の登録、ブラウザプロファイルディレクトリ配下のファイルなどを調査すべきです。

PEEPは、ブラウザ拡張機能がいかにして侵害後の持続的な足がかりになり得るかを示しています。

攻撃者は、別途の署名なしRATバイナリに頼るのではなく、信頼されたブラウザプロセス内に運用ロジックを隠し、日常的なWeb活動に紛れ込ませ、ネイティブメッセージングを利用してブラウザのサンドボックスを突破することができるのです。

侵害指標(IOC)

注記: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化(defang)して表記しています(例: [.])。無害化を解除する際は、MISP、VirusTotal、あるいは自組織のSIEMなど、管理された脅威インテリジェンス基盤内でのみ行ってください。

★ 7段階のメトリックゲート型AI SOC導入フェーズを学ぶ – 無料のAI SOC導入プレイブック2026をダウンロード。