悪意のあるChrome拡張機能が企業をスパイする仕組みと対策

Chromeウェブストアには完璧な防御機構があるわけではなく、マルウェア開発者はその弱点を悪用しています。悪意のある拡張機能による脅威は、世界中の企業や組織にとって無視できない大きなリスクへと成長しつつあります。

この記事では、たった一つの悪質なChrome拡張機能が、企業にどのような深刻な問題を引き起こしうるのかを詳しく解説します。

Chromeウェブストアはウイルスから安全なのか?

Chromeウェブストアは、Google Chromeに拡張機能をインストールする場所としては比較的安全な部類に入りますが、決して万全ではありません。

Googleはマルウェアからユーザーを守るためにさまざまな対策を講じています。たとえば、拡張機能のインストールをウェブストア経由か厳格な条件を満たした場合のみに制限し、さらにウェブストア上で不審な活動がないかを常時監視しています。

しかし、アップロードされるすべての悪質な拡張機能を検出できるわけではなく、一部はチェックをすり抜けてしまいます。そのため、Googleウェブストアにあるものが100%安全だとは言い切れません。それでも、インターネット上の見知らぬファイルをむやみにダウンロードするよりは、はるかに安全であることは間違いありません。

たった1つのChrome拡張機能が企業を危険にさらす仕組み

現在、Chrome拡張機能のマルウェアの多くは、単一のPCのみを標的としています。キーロガーの設置やブラウザの利用履歴の追跡などを行うものの、その影響は使用中のPC内にとどまるのが一般的でした。

しかし、この常識を覆そうとする新しいタイプのChrome拡張機能マルウェアが出現しています。これらの新種は、単にペイロード(悪意のあるコード)を実行するだけでなく、被害者のコンピュータに「足場(フォートホールド)」を築こうとします。

この足場を起点に、ハッカーは組織のネットワーク内部へと侵入を深めていきます。ネットワークの防御を突破することに成功すれば、ハッカーはネットワーク上の他のPCやファイルシステムをも監視できるようになります。

これは、サイバーセキュリティ業界がまだ見たことのない、悪質なChrome拡張機能の進化形です。今や、大規模なネットワークに属する一人が悪質な拡張機能をダウンロードするだけで、組織全体が危険にさらされかねないのです。

実際に発生したChrome拡張機能マルウェアの事例

この脅威は恐ろしく聞こえますが、現実に起こりうるものでなければ意味がありません。では、この攻撃手法が実行可能であることを示す証拠はあるのでしょうか?

この動向を裏付ける証拠は、インターネット上のセキュリティ脅威を追跡しているThreatPostによる報告から得られました。同社のレポートによると、106個の悪意ある拡張機能を発見し、Googleに対して削除を要請したとのことです。

悪質なChrome拡張機能の削除自体は珍しいことではありません。懸念すべきだったのは、このマルウェアの挙動です。被害者のPCからデータを盗み出しただけでなく、ハッカーが被害者のネットワークに侵入するためのバックドア(裏口)まで作り出していたのです。

マルウェアはどのように検出を回避したのか?

拡張機能マルウェアにとって最大の関門は、Googleのセキュリティチェックです。Googleに検知されれば、新たなマルウェアの波として警戒される可能性があります。一方、チェックを通過できれば、広く拡散される可能性は非常に高くなります。ユーザーはChromeウェブストアのアプリを信頼しがちなので、マルウェア開発者は成功すれば高いダウンロード数を見込めるのです。

この特定のマルウェアは、被害者を特定のウェブサイトに誘導し、感染したファイルをダウンロードさせる仕組みでした。しかし、直接リンクを張ってしまえば、Googleにすぐに見破られてしまいます。

そこでマルウェア開発者が使ったのが「変化するウェブサイト(morphing website)」という手口です。コンピュータがサイトにアクセスすると、サイトはアクセス元を確認します。

アクセス元が企業や一般消費者のISP(インターネットサービスプロバイダ)でなければ、それは人間ではなく、安全性を確認しに来た自動システム──たとえばGoogleのクローラーなど──だと判断できます。この場合、サイトは無害なランディングページを表示し、ウイルスチェッカーに「安全なサイト」だと思い込ませるのです。

一方、アクセス元が企業や一般消費者のISPであれば、訪問者は人間です。するとサイトはユーザーを「本物の」ウェブサイトへリダイレクトし、そこで悪意のあるリンクを表示します。

この仕組みにより、開発者がマルウェアをChromeウェブストアにアップロードすると、ウイルスチェッカーは偽のランディングページだけを確認してアプリを「安全」と判定します。そして、ユーザーがダウンロードした後になって初めて、マルウェアのペイロードを含んだ本物のサイトが表示されるというわけです。

マルウェアはどこまで拡散したのか?

残念ながら、この検出回避手法はあまりにも効果的で、106個ものChrome拡張機能がウイルスチェックをすり抜けました。これらのアプリの合計ダウンロード数は3,200万件に達しており、ペイロードがどれほど広く拡散したかを物語っています。

このマルウェアは、悪質なウェブサイトを検出するアプリやファイル形式を変換するアプリなどを装っていました。これらはいずれも人気が高く、多くの人が迷わずダウンロードするタイプの拡張機能であり、ペイロード隠蔽には絶好のカモフラージュとなりました。

その結果、このマルウェアは100もの異なる企業や組織に足場を確立することになりました。その対象には金融、医療、さらには政府機関まで含まれており、ハッカーは幅広い業界に足場を持っていたことになります。

各アプリのコードベースが非常に類似していたことから、研究者たちはすべての拡張機能を同一グループがアップロードしたと考えています。そして、このマルウェアは世界中の企業に足場を築くための、グローバルな監視活動の一環だったと推測されています。

自分がマルウェアをダウンロードしていないか確認する方法

最近感染した拡張機能をダウンロードした疑いがある場合は、以下の手順で確認できます。まず、アドレスバーにchrome://extensions/と入力して拡張機能ページを開きます。怪しいと思われる拡張機能を見つけ、その下に表示されているIDを控えてください。

次に、そのIDを悪質なChrome拡張機能のリストと照合します。拡張機能IDは長い英数字の羅列なので、Ctrl+Fキーを押して検索ボックスにIDを貼り付けると便利です。一致する項目があれば、リストが教えてくれるでしょう。

こうした攻撃から身を守る方法

今回の攻撃は、今後の拡張機能マルウェアの行方を示す早期警鐘と言えます。GoogleドキュメントからZoomまで、業務ツールがブラウザ上で完結するようになった今、仕事に役立つ拡張機能を探す機会はますます増えています。それに伴い、マルウェア開発者も拡張機能の領域に進出し、こうした分野を装ったウイルスを作り始めているのです。

通常なら、ダウンロード数の少なさと不自然な5つ星レビューは、悪質な拡張機能を見分ける有力な手がかりになります。しかし前述のとおり、ダウンロード数はもはや当てになりません。なんと3,200万人ものユーザーがこのマルウェアをダウンロードしたのですから。

そこで有効なのが、「信頼されているアプリ」「長年存在しているアプリ」だけをインストールすることです。何年も前から存在し、多くの推薦や好意的なレビューを集めている拡張機能であれば、悪意がないとほぼ確信できます。

たとえば、当サイトがおすすめするブラウジング体験を向上させるChrome拡張機能は、いずれも本物であり、マルウェアの心配はありません。

Chrome拡張機能を清潔に保つために

Chromeウェブストアの拡張機能はすべて安全だと考えがちですが、実際は正反対です。拡張機能が必要な場合は、長年の定番となっているものを選ぶようにすれば、マルウェアが潜んでいないことを確保できます。

また、インストール済みの拡張機能がすべて正常に動作しているか確認したい場合は、削除すべき怪しいChrome拡張機能のリストを参考に、定期的に見直しを行いましょう。