Chrome拡張機能が牙をむくとき——Cyberhaven侵害事件とその余波

サイバーセキュリティ企業がマルウェア拡散の道具にされてしまったら、一体何が起きるのでしょうか。まさにそれが先週水曜日、サイバーセキュリティ企業Cyberhavenの身に起きたことです。Chrome拡張機能を通じて悪意あるコードが配布され、同社の40万人のユーザーが感染する事態となりました。

Cyberhavenは、組織の機密データ漏洩を防ぐDLP(Data Loss Prevention)分野のスタートアップの一つです。同社が提供するChrome拡張機能は、ユーザーがChatGPTやFacebookといった許可されていないプラットフォームに機密性の高い組織情報を入力するのをブロックします。同社は近年好調で、直近の資金調達ラウンドでは8,800万ドルを調達していました。

時系列で見る事件の経緯

クリスマスイブにあたる火曜日の夜、Cyberhavenの管理者のもとに一通の不穏なメールが届きました。内容は、同社のChrome拡張機能がGoogleのポリシーに違反しており、Chromeウェブストアから削除されるリスクがあるというものでした。Cyberhavenのような企業にとって、拡張機能の削除は致命的な打撃となります。しかし実際には、このメールは管理者を騙すためのフィッシングキャンペーンに過ぎませんでした。

メールをクリックすると、管理者はGoogleの同意画面に誘導され、Privacy Policy ExtensionというOAuthアプリケーションへの権限付与を求められました。このアプリケーションは実際には攻撃者が管理するツールでした。管理者はこの権限を許可したことで、知らぬ間に攻撃者にCyberhavenのChrome拡張機能の新バージョンをウェブストアへアップロードできる権限を与えてしまったのです。

拡張機能の更新版をアップロードする権限を手に入れた攻撃者は、Cyberhavenの拡張機能の悪意あるバージョンを公開しました。Googleはストアにアップロードされる新バージョンごとにセキュリティチェックとスキャンを実施しているとしていますが、悪意あるコードを含むこの新バージョンは、水曜日の朝(2024年12月25日)にほどなくして公開されてしまいました。

ここで重要なのは、ブラウザ拡張機能は自動的に更新されるという点です。つまり、悪意あるバージョンが公開されるとほぼ同時に、Cyberhavenのユーザーおよそ40万人のほぼ全員に配信されてしまったのです。かなり深刻な事態です。

悪意あるコードは何をしていたのか

分析の結果、このコードはユーザーのパスワードやCookie、そのほかアカウント乗っ取りにつながりかねない情報を窃取するよう設計されていたことが判明しました。

悪意あるバージョンが公開されてから数時間後、Cyberhavenのセキュリティチームがこの攻撃を検知し、悪意あるコードの除去に動きました。同社は金曜日にこの侵害についての声明を発表し、サイバーセキュリティ業界に衝撃が走りました。しかし、話はそこで終わりません。この発表を受けてさらに調査が進んだ結果、同じ悪意あるコードを含む人気拡張機能が数十件も新たに発見されたのです。どうやら同一のキャンペーンは、ほかのChrome拡張機能の開発者たちも標的にし、成功を収めていたようです。

現時点では、VPNCityやReader Modeなどの拡張機能を通じて、100万台を超えるコンピューターがこの悪意あるコードに感染したと推定されています。調査は現在も続いていますが、これまでのところ同様に侵害されたChrome拡張機能は合計16件確認されています。侵害指標(IOC)はブログ記事の末尾に添付しています。

私たちにできること

まず強くお勧めしたいのは、自社の環境が感染していないかを確認することです。以下に記載のIOCを活用するか、ExtensionTotalのこちらまでお問い合わせください。さらに、自組織でこうした事態が起きないようにする方法として、バージョンピニングの導入が挙げられます。バージョンピニングとは、組織内で事前承認済みの拡張機能バージョンを固定することを意味し、これにより悪意ある自動更新攻撃に晒されにくくなります。これはExtensionTotal Enterpriseのような製品を使うことで実現できます。

ある拡張機能の開発者を信頼していたとしても、バージョンが変わるたびに以前とはまったく別物になっている可能性があることを忘れてはなりません。拡張機能の開発者側が侵害されれば、ユーザー側も——ほぼ瞬時に——事実上侵害されたことになります。

ExtensionTotalの観測によれば、こうした攻撃は多くの類似したソフトウェアエコシステムでも発生しています。たとえば、ほかのブラウザ拡張機能(Edge、Safari、Firefox)、IDE拡張機能(Visual Studio Code、JetBrains)、コードパッケージ(NPM、Pypi)などです。

これは、大企業が日々直面しているソフトウェアサプライチェーンにまつわる典型的な問題です。セキュリティと生産性をどうバランスさせるか——私たちはまさにこの課題を解決するために、実務担当者から企業まで幅広く使えるExtensionTotalを構築してきました。

Fortune 100・500企業や防衛テック企業にも信頼されているExtensionTotalは、セキュリティプロセスを自動化し、可視性・ガバナンス・プロアクティブなリスク管理を提供することで、この攻撃対象領域を縮小し、バランスの取れた状態に導きます。

お話ししたい方は、こちらまでご連絡ください🤙

*** 更新 2024年12月30日 13:03 UTC ***
ExtensionTotalは、同一キャンペーンの一環として、さらに3件の悪意あるChrome拡張機能(ユーザー数合計12万人)を発見しました。調査は現在も継続中です。

*** 更新 2024年12月31日 6:13 UTC ***
悪意あるコードを含む侵害済みのChrome拡張機能がさらに多数発見されました。最新情報についてはインシデントページをご確認いただくことをお勧めします。

ExtensionTotalより。本ブログ記事の多くの内容は、彼のLinkedIn投稿から着想を得ています。