OWN NEWS GATHER
← 戻る
The Hacker News

暗号資産を盗み出す悪意ある拡張機能がChromeとEdgeで19件確認、正規機能の買収や更新を悪用

要点

  • セキュリティ企業Socketなどの調査により、Google Chrome向け18件とMicrosoft Edge向け1件の計19件の拡張機能に暗号資産ウォレットの窃取コードが含まれていたことが判明した。

  • 攻撃者は無害な拡張機能を公開して利用者を増やした後に不正コードを配信するか、既存の正規拡張機能を買収してマルウェア化させていた。

  • 最も影響が大きい拡張機能は累計8万人のユーザーを抱える「Enable Right Click & Copy」で、全体でSEOツールや暗号資産管理ツールなど多岐にわたる。

  • 指令サーバーとの常時接続や通信先の動的なローテーションにより、検知を回避しながら被害者ごとにデータを窃取する巧妙な仕組みが備わっていた。

  • セキュリティ企業Socketのセキュリティ研究者であるKarlo Zanki氏らの調査により、Google Chrome向け18件およびMicrosoft Edge向け1件の計19件のブラウザ拡張機能に、暗号資産（仮想通貨）ウォレットの情報を盗み出して資産を不正に流出させるコードが含まれていたことが明らかになった。Socketはこの一連の攻撃活動を「Superior」という名称で追跡しており、確認された証拠から2024年2月頃から長期にわたり活動が継続していた可能性が示されている。

利用者を獲得した後に不正化する手口

今回の攻撃において、脅威アクターは拡張機能の配信プラットフォームを悪用した計画的な手法を用いていた。手口は大きく分けて2通り確認されている。

1つ目は、正規の機能を持つ既存の拡張機能を元の所有者から買収する方法である。すでに利用者を獲得している拡張機能を買い取ることで、初期の審査やユーザーの警戒をすり抜ける。2つ目は、最初はマルウェアを含まない安全な拡張機能を自ら新規に作成して公開し、ダウンロード数が集まるのを待つ方法である。

いずれの手法でも、十分なユーザー基盤を確保した段階で悪意ある動作を含む新バージョンをアップデートとして公開し、利用者の環境をマルウェア化させていたという。

特定された19件の拡張機能と影響範囲

特定された19件の拡張機能のうち、14件は攻撃者が自ら作成して公開したもので、残る5件は元の所有者から買収されたものだった。

買収された拡張機能には、Webサイトのコピー制限を解除する「Enable Right Click & Copy — Smart Unlock + OCR」（OCR：画像から文字を読み取ってテキスト化する技術）や、Edge向けの「Allow Copy - Select & Enable Right Click」、Googleレンズ連携をうたう「RapidLens」「QuickLens」、PDF保護ツール「Password Protect PDF」の5件が挙げられている。

このうち「Enable Right Click & Copy」はChromeとEdgeを合わせて累計8万人のインストール実績があり、今回のキャンペーンで最も大きな潜在的影響力を持つとされる。また「QuickLens」については、2026年3月の段階でAnnex Securityおよびmonxresearch-secにより、下流ユーザーへのマルウェア配信や任意コードの挿入、機密データの収集を行う悪質な挙動が報告されていた。

一方、攻撃者が自作して公開した14件には、SEO（検索エンジン最適化）分析ツール「Site Signal」や「SEO Pulse Pro」、広告調査ツール「Creative Library」のほか、暗号資産の価格監視やポートフォリオ管理ツールである「Blockfolio: Address Monitor」「Crypto Rates & Fiat Converter」「DeFi Pulse Tracker」「LedgerLook: Wallet Checker」などが含まれていた。

表向きの機能と裏で行われる不正通信

これらの拡張機能は、表向きは意図したとおりに動作しながら、裏で不正なサーバーと通信してユーザーデータの送信や任意コードの実行を行う二重構造を持っていた。

この活動の一端は2025年5月にDomainTools Investigationsによっても報告されている。当時は正規サービスや業務ツール、VPN、暗号資産ユーティリティを装った偽サイトを作成し、Chromeウェブストアから悪意ある拡張機能をインストールさせる手口が確認されていた。

各拡張機能には、外部のC2サーバー（指令サーバー：感染端末へ遠隔指示を送るサーバー）とWebSocket（リアルタイムに双方向通信を行うための規格）で常時接続を確立する機能が組み込まれていた。

SocketのZanki氏によると、このフレームワークは初期C2サーバーからの指示に基づいて接続先エンドポイントを動的にローテーションする機能を持ち、実際の運用でも確認されているという。これにより被害者を複数のサーバーインフラへ分散させ、検知リスクを低減させていた。さらに、盗み出したデータの送信先もC2からの指示で動的に指定され、被害者ごとに個別の流出経路が設定されていたと説明されている。

元URL