暗号資産ウォレットの認証情報を盗み取るよう設計された、数十個もの偽Firefox拡張機能を用いた大規模な悪質キャンペーンが発見されました。これらの拡張機能は、Coinbase、MetaMask、Trust Wallet、Phantom、Exodus、OKX、Keplr、MyMonero、Bitget、Leap、Ethereum Wallet、Filfoxといった広く利用されているプラットフォームの正規ウォレットツールになりすましています。インストールされると、これらの悪質な拡張機能はウォレットの秘密情報を密かに外部へ送信し、利用者の資産を即座に危険にさらします。現時点で、私たちはこのキャンペーンに関連する40種類以上の拡張機能を特定していますが、キャンペーン自体は現在も継続中であり、一部の拡張機能はいまだにマーケットプレイスで公開されています。この関連付けは、共通のTTP(戦術・技術・手順)とインフラを丹念に洗い出す作業によって行われました。
このキャンペーンは、少なくとも2025年4月から活動していることが確認できています。新たな悪質拡張機能は直近の1週間にもFirefox Add-onsストアへアップロードされていました。アップロードが継続している事実は、この攻撃活動が今なお活発で、持続的かつ進化を続けていることを示しています。
これらの拡張機能は、標的とするウェブサイトから直接ウォレットの認証情報を抜き取り、攻撃者が管理するリモートサーバーへ送信します。初期化の際には被害者の外部IPアドレスも送信しており、これはおそらく追跡やターゲティングを目的としたものとみられます。
信頼をどう獲得しているか
このキャンペーンでは、評価、レビュー、ブランディング、機能性といったマーケットプレイスにおける一般的な信頼構築の仕組みを悪用し、ユーザーの信頼を獲得してインストール率を高めています。
中核となる手口の一つがレビューの水増しでした。悪質な拡張機能の多くには、実際のユーザー数をはるかに上回る数百件もの偽の5つ星レビューが付けられていました。この手口により、拡張機能が広く採用され好評を得ているように見せかけることができ、Mozilla Add-onsストアのようなプラットフォームでユーザーの信頼を得るうえで重要な要素となっています。
脅威アクターは、なりすまし対象となった正規ウォレットツールのブランディングを入念に模倣し、本物のサービスと同一の名称やロゴを使用していました。この見た目の類似性により、警戒心のないユーザーが誤ってインストールしてしまう可能性が高まります。
複数のケースにおいて、脅威アクターは公式拡張機能がオープンソースであることを悪用していました。実際のコードベースを複製した上で独自の悪質なロジックを埋め込み、通常通りに動作しているように見せかけながら、裏では機密データを密かに盗み出す拡張機能を作り上げていたのです。この手間のかからない手法は大きな被害をもたらすもので、期待通りのユーザー体験を維持しつつ、即座に検知される可能性を抑えることができました。
帰属
攻撃者の特定はまだ暫定的な段階にとどまっていますが、複数の兆候がロシア語話者の脅威アクターを示唆しています。具体的には以下の通りです。
- 拡張機能のコードに埋め込まれたロシア語のコメント
- 本作戦で使用されたコマンド&コントロールサーバーから取得したPDFファイルに含まれるメタデータ
決定的な証拠ではないものの、これらの痕跡は、このキャンペーンがロシア語話者の脅威アクターグループに由来する可能性を示唆しています。
推奨対策
- 拡張機能は検証済みの発行元からのみインストールし、評価の高いリスティングであっても油断しないこと
- ブラウザ拡張機能を完全なソフトウェア資産として扱い、審査・監視・ポリシー適用の対象とすること
- 拡張機能の許可リストを利用し、事前に承認・検証された拡張機能のみに導入を制限すること
- 一度きりのスキャンではなく、継続的な監視を実施すること。拡張機能は自動更新され、インストール後に密かに挙動を変える可能性があるため
本レポートは、Koi Securityのリサーチチームが、健全な警戒心と、より安全なオープンソースエコシステムへの願いを込めて執筆しました。
これまで長きにわたり、最高レベルの権限で動作することも多い信頼されていないサードパーティ製コードの利用は、企業側からも攻撃者側からも見過ごされてきました。しかし、その時代は終わりを迎えつつあります。潮目は変わりつつあるのです。
私たちKoiは、この局面に対応すべく、実務担当者と企業の双方に向けたプラットフォームを構築してきました。当社のプラットフォームは、Firefox、Chrome Web Store、VSCode、Hugging Face、Homebrew、GitHubなど、各種マーケットプレイスからチームが取り込むあらゆるものを発見・評価・統制する支援を行います。
Koiは、フォーチュン50企業やBFSI(銀行・金融・保険)、そして世界有数のテクノロジー企業から信頼を得ており、この広大な攻撃対象領域における可視性の確保、ガバナンスの確立、そしてリスクの積極的な低減に必要なセキュリティプロセスを自動化しています。
私たちのソリューションにご興味をお持ちの方、あるいは今すぐ行動を起こしたい方は、デモをご予約いただくか、こちらからお気軽にご連絡ください 🤙
さらなるサプライズも近日中に控えていますので、どうぞご期待ください。
IOC(侵害指標)
Firefox extension names:
Domains:
翻訳元: https://www.koi.ai/blog/foxywallet-40-malicious-firefox-extensions-exposed
