Cyberhaven事件や、悪意ある拡張機能によって300万人ものユーザーが被害を受けた「2025年2月」の事件だけが、Chromeウェブストアに潜むマルウェアキャンペーンだと思われがちです。しかし実際には、私たちはChromeウェブストアで毎月マルウェアを発見しています。
そこで、マーケットプレイスにおけるサプライチェーン攻撃を暴いてきたこれまでの取り組みの一環として、この1カ月間にChromeウェブストアで見つかったものをご紹介したいと思います。
マルウェアが確認された拡張機能は45件。感染ユーザー数は25万人に上ります。
本題に入る前に、IOC(侵害指標)はすべてこの記事の末尾に掲載していることをお伝えしておきます。
それでは、詳細を見ていきましょう。
正直なところ、マルウェアが見つからない月の方が心配になる
私たちの事業は、マーケットプレイス上のマルウェアやその他のリスクから組織を守ることです。今日、Chromeウェブストア、Hugging Face、GitHub、VSCode Marketplaceといったマーケットプレイスは、組織にソフトウェアが流入する最大の窓口となっており、管理が行き届かなければ極めてリスクの高い存在になります。私たちはこうしたリスクの軽減を組織が実現できるよう、マーケットプレイスを継続的にスキャンし、すべてのアイテムのリスクを自動的に分析しています。
Chromeウェブストアもそうしたマーケットプレイスの一つであり、私たちのリスク分析により、毎月数十件のマルウェアアイテムが検出されています。
今回は、皆様への注意喚起として、次のインシデントを未然に防ぐ一助となる知見をお伝えします。
今月見つかったものは何か
今回、私たちは3件の重大なキャンペーンを発見しました。1つ目はGoogle、Bing、Yahooといった主要な検索エンジンの検索結果を操作し、フィッシングサイトへ誘導するものです。2つ目はリモートペイロードをダウンロードしてウェブサイトに注入するもの、そして3つ目はブラウザのセキュリティを弱体化させ、必要に応じて悪意あるサイトへ誘導するものです。
まず紹介するのは「Video Downloader」です。一見すると、人気サイトから動画ファイルを保存できるだけの無害な拡張機能に見えます。
高評価と1万人のユーザー、見栄えの良いデザインの裏には、3時間ごとに新しい設定を取得し、Chromeのネットワークルールを操作し、収集した情報をC2サーバーへ送り返すC2サーバーが潜んでいます。これは検索エンジンの結果を操作するキャンペーンの一部です。私たちのリスクエンジンは、悪意ある挙動を示すドメインを自動的に手がかりとして追跡する仕組みになっており、これにより、まったく同じ悪意あるコードを持ち、同じ攻撃インフラを共有する多数の拡張機能からなる大規模なキャンペーンが明らかになりました。
👉 具体例をいくつか挙げます:
Downloader For Instagram(インストール数8万件): bhfelhfpjghfmhogedjnlmdpkbhmjhlf、ompafndkajgkoldjbgnbikogdkljinlb (🚨 現在もストアに公開中)
Bass Booster(インストール数1万件): ndhaplegimoabombidcdfogcnpmcicik
Video Downloader(インストール数1万件): kghcdbkokgjghlfeojcpeoclfnljkbdk (🚨 現在もストアに公開中)
合計:感染ユーザー数10万5000人。
興味深いことに、これらの拡張機能の一部では、バージョンアップの際に悪意あるコードが仕込まれていました。例えばBass Boosterはバージョン2.1までは無害でしたが、そのバージョンで悪意あるコードが混入しています。これは、バージョンアップの管理がいかに重要かを物語っています。
😅😅
次に紹介するのは、第2段階の暗号化されたペイロードをダウンロードし、ローカルストレージに保存したうえで、隠しDOM要素としてウェブサイトに注入する拡張機能群からなる大規模なキャンペーンです。私たちのリスクエンジンはこのキャンペーンを複数の理由からフラグ付けしましたが、最も興味深いのは、コード類似性スキャナーがすべての拡張機能に同一の攻撃パターンを検出した点です。下記のスニペットに見られる「CEB」は、これらすべての拡張機能で使われている、同一の攻撃者を示す識別子のようなものです。
👉 具体例をいくつか挙げます:
Meta Pixel Debugger: lhfgpkbdjfgdgcmpfdlcldohckepmidb
Easy Link Saver: gaphdgiciagcoikgdldobainboocpoid
DeepSeek AI | Free AI Assistant: pocfdebmmcmfanifcfeeiafokecfkikj
CreativePeek — Free tool: mblkbbabkcmjnegndgcepingkhcjabhh
最後に紹介するのは、同じ攻撃インフラを共有していたことで発覚した、いくつかのVPN拡張機能です。私たちのリスクエンジンは、過去に報告された悪意ある拡張機能とそのインフラを参照し、再犯を検出する仕組みを備えています。今回のケースでは、複数のVPN拡張機能が見つかり、そのうち1件は現在もストアに公開されたままで、以前報告済みのキャンペーンで使われた攻撃インフラを利用していました。これらはすべて同じサーバー群を使用しているだけでなく、以前確認されたのと同じ悪意あるCSP剥奪の手口を共有しています。
👉 具体例をいくつか挙げます:
FVP Free Vpn Proxy(インストール数9万件): ebldcmdjfokdlhlldbfgljogkjkadoag
Thunder FREE VPN For Chrome(インストール数4万件): knmmpciebaoojcpjjoeonlcjacjopcpf
Red Panda Free VPN | Unlimited VPN(インストール数9千件): plpmggfglncceinmilojdkiijhmajkjh
これらは、以前から悪意あるものとして報告されているVideo Effects for YouTube And Audio EnhancerおよびMike Adblock für Chrome | Chrome-Werbeblockerと直接つながっています。
このほかにも、大規模なキャンペーンには属さない単独の悪意ある拡張機能がいくつか見つかっており、それらはすべて以下のIOCリストに掲載しています。
C&Cのペイロードと暗号化手法を含む、より詳細な技術分析は近日中に公開予定です。
どう対処すべきか
これらの拡張機能の一部は、報告を受けてすでにChromeウェブストアから削除されています。しかし、ここが極めて重要な「しかし」なのですが、Chromeウェブストアから削除された拡張機能はブラウザにはインストールされたまま残り、自動的には削除されません。つまり、組織内に永久に居座り続けることになります。だからこそ、環境をIOCと照らし合わせて確認することを強くお勧めします。サポートが必要な場合は、遠慮なくこちらからご連絡ください。
はぁ…この先どうなるのか
以上はすべて、この1カ月だけで見つかったものです。他の多くのマーケットプレイスと同様、Chromeウェブストアは大きな生産性の恩恵をもたらす一方で、数多くのセキュリティ課題も生み出しています。私たちはこうしたマルウェアを日々目にしており、組織がそれを軽減できるよう支援しています。セキュリティと生産性をどう両立させるべきか、と疑問に思う方もいるでしょう。私たちはまさにそれを、実務担当者にも企業にも実現できるようExtensionTotalを構築しました。Chromeウェブストア、VSCode、Hugging Face、Homebrew、GitHubなど、チームがマーケットプレイスから取得するあらゆるものを発見し、評価し、統制することを支援します。
フォーチュン100やフォーチュン500に名を連ねる企業、そして防衛関連企業からも信頼を得ているExtensionTotalは、セキュリティプロセスを自動化し、可視性とガバナンス、そしてプロアクティブなリスク管理を提供することで、この攻撃対象領域を縮小し、バランスの取れた状態に導きます。
ご相談をご希望の方は、こちらからお気軽にご連絡ください 🤙
IOCリスト
ドメイン:
ID:
翻訳元: https://www.koi.ai/blog/a-month-of-malware-in-the-chrome-web-store
