PEEPマルウェア、ChromeとEdgeをバックドア化

新たに明らかになったマルウェアツールキットは、Google ChromeとMicrosoft Edgeを恒久的なバックドアに変え、攻撃者にブラウザから基盤となるオペレーティングシステムへの侵入経路を提供します。

SOCRadarの研究者らは、「Smart Bookmarks」という拡張機能に偽装するChromiumベースのポストエクスプロイテーション（侵害後活動）フレームワーク「PEEP」について詳細を明らかにしました。PEEPは初期侵入用のツールではありません。攻撃者はあらかじめ標的マシン上でコードを実行できる状態にある必要があり、インストールや永続化の手法の一部では管理者権限が必要になる場合もあります。

展開されると、PEEPはブラウザデータの窃取、セッションの乗っ取り、ウェブページの改ざんを行い、ネイティブメッセージング機能を使ってホスト上でコマンドを実行できます。

通常のブラウザプロンプトなしにインストールされるPEEP

PEEPは、ユーザーを騙して拡張機能マーケットプレイスからインストールさせるタイプの悪意ある拡張機能とは一線を画します。

The Hacker Newsによると、そのインストーラーはChromeやEdgeのプロファイルに拡張機能を直接注入し、ChromiumのSecure Preferencesの整合性値を操作することで、ウェブストアの検証やユーザーへの確認プロンプトを回避します。

この拡張機能は「Smart Bookmarks」を名乗り、ID「ejkndncpkdcjcikfhiamcdehdoegilbj」を使用します。そして30秒ごとに平文のHTTP通信でコマンド&コントロール（C2）インフラと接続し、指示を受け取ったり収集したデータを送り返したりします。

Information Security Reportによれば、PEEPは閲覧履歴、アクティブなタブの情報、セッションクッキー、その他のブラウザデータを外部に送信できます。攻撃者はこれを使って認証情報を盗んだり、アクティブなセッションを妨害したりすることも可能です。

PEEPは、オープンソースのブラウザ解析・レッドチーム用フレームワークである「RedExt」をベースにしています。今回の新しいツールキットには、独自のインストールルーチン、ハートビート方式のテレメトリ、アップデート機構、ネイティブホストブリッジ、そして拡張されたコマンドセットが追加されています。

ネイティブメッセージングブリッジがPEEPにホストへのアクセスを与える

PEEPは、そのブラウザ拡張機能が「nm_host.exe」という補助実行ファイルを呼び出すことで、より危険な存在になります。

このコンポーネントはChromeのネイティブメッセージング機構を利用して、ブラウザレベルの活動の枠を超えて動作します。シェルコマンドの実行、ファイル操作、侵害されたマシン上のプロセスやサービスの探索が可能です。

SOCRadarによると、PEEPはChromiumのネイティブメッセージング機能を悪用し、別途インストールされたホスト実行ファイルと通信することで、ブラウザのサンドボックスを突破することなく、攻撃者の到達範囲をブラウザからオペレーティングシステムへと拡大させます。

ブラウザ経由のコマンドでは、スクリーンショットの取得、クリップボードへのアクセス、ウェブページへのJavaScriptの注入も可能です。

PEEPのコードは信頼されたブラウザ環境内で実行されるため、見慣れない実行ファイルや未署名の実行ファイルを主な監視対象とする防御策では、その一部の活動が見過ごされやすい可能性があります。

PEEPが使用する複数の永続化手法

不要な拡張機能を削除するだけでは、PEEP感染の駆除には不十分な場合があります。

研究者らは、サイドローディング、エンタープライズ強制インストールポリシー、Secure Preferencesの操作、そしてScriptCacheへのフォールバックなど、複数の永続化手法を確認しました。

PowerShellスクリプトによって開発者モードを有効化し、Secure Preferencesを変更して、拡張機能を強制的にブラウザへ再インストールすることが可能です。Atlabyteの報道によれば、PEEPにはLinux上で同様のSecure Preferences変更を行うためのPythonスクリプトも含まれています。これはクロスプラットフォーム開発が一部行われていることを示唆していますが、ツールキットのネイティブホスト機能全体がLinuxで動作することを確認するものではありません。

PEEPのC2インフラには、感染システムの登録、ハートビートの送信、拡張機能のアップデート、コマンド結果の返送、収集データの外部送信を行うためのエンドポイントも含まれています。

SOCRadarによると、外部に露出していたヘルスチェック用エンドポイントには、登録エージェント数34件、アクティブセッション数10件、データレコード数507件と表示されていました。研究者は、これらの数値が実際の被害者を示すものなのか、テスト用システムやその他の活動によるものなのかを判別できておらず、そのため確認済みの感染件数とは言えません。

攻撃の帰属についても同様に不確かです。ソースコード内には中国語の痕跡が発見されていますが、現時点で得られている証拠だけでは、誰がPEEPを開発・展開したのかを特定するには至っていません。

侵害後にセキュリティチームが確認すべきこと

PEEPの存在は、攻撃者がすでにエンドポイントの制御を奪った後、インシデント対応担当者がブラウザも調査すべき理由をもう一つ加えるものです。

初期侵入の足がかりとなったマルウェアを発見し駆除するだけでは、別の永続化機構が残ってしまう可能性があります。特にエンタープライズポリシーやネイティブメッセージングが悪用されている場合、ChromeやEdgeの設定そのものが攻撃者の足場の一部となり得ます。

侵害が疑われる場合、防御担当者は以下の点を確認することが望まれます。

• インストール済みおよび強制インストールされた拡張機能: 見慣れない拡張機能、予期しないサイドローディング、ExtensionInstallForcelistや関連するエンタープライズポリシーの変更の有無を確認
• Chromiumの設定とネイティブメッセージング: Secure Preferencesの変更、登録済みのネイティブメッセージングホスト、nm_host.exeのような想定外の実行ファイルを確認
• ブラウザ発の活動: 不審な子プロセス、シェル実行、外部へのHTTP通信、通常のユーザー行動と一致しないブラウザの動作を調査

CISO AIも、PEEPのインストールには昇格した権限または事前のコード実行が必要であることから、管理者アクセスの制限を推奨しています。

PEEPは攻撃者の初期侵入手段に取って代わるものではありません。その真価は侵入後にこそ発揮され、侵害されたブラウザがセッション、認証情報、そしてホスト自体への継続的なアクセスを提供し続けることにあります。防御側にとっては、一見正常に動作しているように見えるブラウザであっても、当初の侵入を封じ込めた後になお精査に値する場合があるということです。

あわせて読みたい：インフラの摘発後もマルウェアの拡散が続いた別の事例として、偽Minecraftサイトやالسレ Poisoning(SEOポイズニング)、信頼されたホスティングプラットフォームを通じて拡散を続けるWeedHackに関する記事もご覧ください。

Kezia Jungco

Kezia Jungcoは、人工知能、データ分析、CRMソフトウェア、クラウドインフラ、サイバーセキュリティ、そして新興のビジネステクノロジーを専門とするテクノロジーライター兼リサーチャーです。ソフトウェアプラットフォームやテクノロジーソリューションの評価において5年以上の経験を持ち、業界のリーダーたちが未来の働き方を形作るツールやトレンドを理解する手助けをしています。
Keziaは、生成AIプラットフォーム、チャットボット、自然言語処理（NLP）ツール、CRMシステム、業務用ソフトウェアの検証・分析について豊富な実務経験を有しています。彼女の仕事は、複雑なテクノロジーを実践的な洞察に落とし込み、企業が技術導入や業務効率化、デジタルトランスフォーメーションについて的確な意思決定を行えるよう支援することに主眼を置いています。
TechnologyAdviceのスタッフライターとして、KeziaはAIイノベーション、機械学習のビジネス応用、データ駆動型テクノロジー、クラウドコンピューティング、サイバーセキュリティ、営業テクノロジーを取材しています。ジャーナリズム、リサーチ、教育分野での経験を活かし、厳密な分析と、企業・一般消費者双方にとって分かりやすい明快な報道とを両立させています。
Keziaは、フィリピン大学ロスバニョス校でデベロップメント・コミュニケーション（開発ジャーナリズム専攻）の学士号を取得しています。また、人工知能、データプライバシー、情報セキュリティに関する専門トレーニングも修了しています。彼女の記事はTechnologyAdvice、TechRepublic、eWeek、Datamation、Selling Signalsなどに掲載されており、急速に変化するテクノロジーの世界を読者が実践的かつ調査に裏付けられたガイダンスとともに読み解けるよう支援しています。