生産性向上のための拡張機能が攻撃基盤になるとき

ブラウザーの拡張機能は、脅威アクターがユーザーの閲覧活動に継続的にアクセスするための、最も効果的な手段の1つとなっています。従来のマルウェアとは異なり、悪性拡張機能はユーザーからの信頼を利用し、ブラウザー内で実行されます。また、多くの場合、一度インストールされるだけで、その後も継続的に活動できます。

Chrome WebストアとMicrosoft Edgeアドオンストアを対象とした継続的な脅威ハンティングの中で、イスラエルのLayerX Security（現在はAkamaiの一部）が運営するLayerX Researchは、32種類の悪性拡張機能から成る組織的なブラウザー拡張機能キャンペーンを特定しました。これらの拡張機能は合わせて6,150人を超えるユーザーに影響を及ぼしていました。

一見すると、これらの拡張機能には関連性がないように見えます。それらは、テキストユーティリティ、YouTube機能拡張、SEO支援ツール、メモアプリ、言語アシスタント、Markdownユーティリティ、その他のブラウザー向け便利ツールなど、生産性向上を目的としたさまざまなツールを装っています。それぞれが異なるブランド名やデザインを使用し、異なる機能をうたっています。

しかし、この表面的な多様性の裏で、ほとんどの拡張機能がほぼ同一のインフラを共有しています。このことから、これらの拡張機能が共通の開発フレームワークを基に作成された可能性が示唆されます。さらに、すべての拡張機能に、韓国語のローカライズリソース、韓国語によるコメント、その他の開発上の痕跡が共通して確認されています。 

これらの共通点は、これらの拡張機能が同一のキャンペーンの一部であり、組織的なグループまたは個人によるものであるかを問わず、同一の脅威アクターによって開発されたという当社の評価を裏付けています。

このキャンペーンに関連する最初の拡張機能は2025年3月に登場し、その後数か月にわたって追加の拡張機能が継続的に公開されました。

攻撃者は同じ拡張機能を再公開するのではなく、同一の基本フレームワークをベースに構築した新たな亜種を継続的に投入していました。

イスラエルのLayerX Securityの研究者が特定した内容は以下のとおりです。

• 32種類の悪性ブラウザー拡張機能

• 配布場所：

  • Google Chrome Webストア

  • Microsoft Edgeアドオンストア

• 6,150人を超えるユーザーに影響

これらの拡張機能は、以下のような互いに無関係に見えるユーティリティを装っていました。

• テキストカウンター

• Markdownユーティリティ

• YouTube機能拡張

• 動画速度コントローラー

• SEOツール

• 言語アシスタント

• メモ作成ツール

• スクロールユーティリティ

• AI関連ツール

これらの拡張機能は一見すると無関係に見えますが、静的解析の結果、その大部分で、ほぼ同一のバックグラウンド・サービス・ワーカー、テレメトリロジック、ストレージ構造、ナビゲーション処理が再利用されていることが明らかになりました。ブランド関連のアセットやうたわれている機能を除けば、基盤となる実装はほぼ変わっていません。このことから、これらの拡張機能が共通の開発フレームワークから生成されたことが強く示唆されます。

個々の拡張機能を単独で見ると、特に目立った特徴はありません。それぞれがもっともらしい生産性向上機能をうたい、独自のブランドやデザインを使用しており、ユーザー数も比較的少数です。しかし、パブリッシャー情報、コードの類似性、共通したリモートインフラ、実行時のふるまいを相互に照合することで、初めてキャンペーン全体の実態が明らかになります。 

図1は、現代のブラウザー拡張機能キャンペーンが、一見すると無関係な多数の拡張機能に悪性機能を分散させることで、いかに発見されにくい状態を維持できるかを示しています。

ほとんどの拡張機能では、動作に必要なロジックを拡張機能のパッケージ内に埋め込むのではなく、同じjsDelivrホストのエンドポイントからリモート設定ファイルを取得しています（図2）。

設定ファイルをダウンロードすると、その内容を解析してローカルにキャッシュします。

リモート設定を使用することで、キャンペーンの柔軟性は大幅に高まります。Chrome WebストアやMicrosoft Edgeアドオンストアで新しいバージョンの拡張機能を公開する代わりに、攻撃者は設定ファイルを変更するだけで、拡張機能のふるまいを変更できます。そのため、ブラウザーストアで再度審査を受けることなく、対象となるWebサイト、リダイレクト先、キャンペーンのロジックなどを即座に変更できます。

調査中、リモート設定が何度も変更されることを確認しました。ある時点では、設定が完全に空になっており、インフラが一時的に無効化されたか、リセットされたことを示唆していました（図3）。

数日後には、アフィリエイトトラフィックをリダイレクトするためのルールが設定に追加されていました。これは、このキャンペーンのふるまいが拡張機能内部に静的に埋め込まれているのではなく、リモート設定を通じて管理されていることを示しています（図4）。

ダウンロードされた設定ファイルの値は、プレーンテキストではありません。代わりに、ホスト名、リダイレクト用のペイロード、内部識別子がBase64でエンコードされており、実行時に再構成されます（図5）。

Base64エンコードには暗号学的な保護機能はなく、拡張機能自体に機能上のメリットをもたらすものでもありません。その代わり、対象ドメインやリダイレクト用ペイロードを実行時まで隠蔽することで、手動での調査や自動静的解析を困難にしています。

デコードされた値は、その後、拡張機能の実行中に適用されるナビゲーションルールを再構築するために使用されます。

初期化が完了すると、バックグラウンド・サービス・ワーカーはwebNavigation APIを使用して、ユーザーの閲覧活動を継続的に監視します（図6）。

完了したすべてのナビゲーションが処理されるため、この拡張機能は、ユーザーが訪問したWebサイトが拡張機能のうたわれている機能に関連しているかどうかにかかわらず、ユーザーの閲覧セッションを実質的に監視できます（図7）。

ホスト名がリモートから提供されたルールのいずれかに一致すると、拡張機能はchrome.tabs.update()を呼び出し、アクティブなタブを密かに置き換えます。

あらかじめリダイレクト先がコードに埋め込まれたキャンペーンとは異なり、遷移先URLは拡張機能自体に埋め込まれておらず、ダウンロードした設定から動的に再構築されます。

リダイレクト先が拡張機能に埋め込まれず、リモートから提供されるため、攻撃者は新しいバージョンをブラウザーストアに公開することなく、いつでもキャンペーンの対象を変更できます。

https://cdn.jsdelivr.net/gh/chosanghyeon-dev/chosanghyeon-dev@main/cf.json

https://link.coupang.com/a/dUnRI6

https://link.coupang.com/a/ej6z6U

api.pvmf.workers.dev

indie05hacker@gmail.com