Chrome拡張機能のストレージを狙う新型マルウェア「WeaselBiscuit」、13件のnpmパッケージから検出

要点

• セキュリティ研究者により、Chrome拡張機能の内部データを窃取する未確認のJavaScriptマルウェア「WeaselBiscuit」を仕込んだ13件のnpmパッケージが発見された。

• 過去に北朝鮮の攻撃キャンペーンで確認されたマルウェアと機能的な重複が見られる一方、不要な機能を削ぎ落とした極めて軽量な設計が施されている。

• パッケージの読み込みを起点にメモリ上で直接実行され、Windows、macOS、Linux環境のChrome拡張機能ストレージ（LevelDB形式のデータ）を丸ごと外部へ送信する。

• 外部のオンラインJSONストレージの悪用など北朝鮮関連マルウェアと共通する手口が確認されているが、現時点で攻撃者を同国と断定する決定的な証拠はないとされている。

• 2026年9月18日、セキュリティ研究グループのOpenSourceMalwareなどの調査により、これまで文書化されていなかったJavaScript製スティーラー（情報窃取マルウェア）「WeaselBiscuit」を配信する13件のnpmパッケージが発見された。このマルウェアは、開発者などの端末に侵入し、Google Chromeの拡張機能が保存している各種データを標的に窃取を行う。過去に北朝鮮のサイバー攻撃で用いられたマルウェアとの機能的な類似性が指摘されている。

13件のnpmパッケージを介した感染経路

調査によると、悪意あるコードはJavaScriptのパッケージ管理システムであるnpm上に公開されていた以下の13件のパッケージに仕込まれていた。

• @biz44/id10-client
• @biz44/id12-client
• @biz44/id44-client
• @biz44/id79-client
• @biz44/id95-client
• @biz44/id99-client
• @biz44/process-runtime-utils
• @biz44/runtime-utils
• engin1
• id79-client
• process-lhpm
• process-mite
• process-tailwind

これらのパッケージがプロジェクトにインポートされると、内部に含まれるローダー（loader.js）が作動する。ローダーは、オンラインの軽量JSONストレージサービス「Npoint」をデッドドロップ（中継地点）として利用し、メインとなるマルウェア本体を取得してメモリ上で直接実行する仕組みとなっている。

機能を絞り込んだ軽量スティーラーとしての特徴

セキュリティ研究者のPaul McCarty氏（別名6mile）は、WeaselBiscuitについて「より小さく軽量で、重い機能の多くが完全に削ぎ落とされている」と説明している。

OpenSourceMalwareの共同創業者であるJenn Gile氏によると、「カワウソ（Otter）よりもイタチ（Weasel）のほうが体が小さく、ビスケット（Biscuit）はクッキー（Cookie）よりも飾り気がない」という対比から、先行する北朝鮮関連マルウェア「BeaverTail」や「OtterCookie」にちなんで「WeaselBiscuit」と命名されたという。

一般的な高度マルウェアとは異なり、WeaselBiscuitには遠隔操作機能（RAT）や端末への永続化（再起動後も常駐する仕組み）、暗号資産ウォレットの残高を直接抜き取る機能、二次的な不正プログラム（InvisibleFerretなど）をダウンロードする機能などは備わっていない。機能を最小限に限定し、自己完結型のツールとして構築されている点が特徴だ。

Chrome拡張機能データの丸ごと窃取と監視機能

実行されたWeaselBiscuitは、別のNpoint上のURLからC2（指令用）サーバーの設定を読み込み、感染端末のプロファイリングを実施する。

その後、Windows、macOS、Linuxを問わず、Chrome拡張機能がデータを保持する「Local Extension Settings」ディレクトリ（LevelDB形式のキー・バリューストア）を探索する。そして、読み取り可能かつ空ではないすべてのファイルを一括して外部へアップロードする。

McCarty氏は、「このマルウェアには先行のマルウェアのような直接的な暗号資産ウォレット窃盗機能はないものの、拡張機能のストレージを収集することで、ウォレット拡張機能の状態やその他の機密データが露出する恐れがあり、金銭的な被害につながる」と指摘している。

さらに、C2サーバー（103.170.217[.]184:8787）から指示を受信した場合、Windows環境においてはクリップボードの内容やキーストローク（キーボード入力）を記録する機能も動作可能となっている。

北朝鮮系脅威アクターとの関連と共通する手口

WeaselBiscuitには、北朝鮮の脅威アクターが展開する攻撃キャンペーン「Contagious Interview」で使われてきたマルウェアとの機能的な重複が見られる。

先行する「BeaverTail」は、2022年後半からソフトウェア開発者やIT従事者、暗号資産ユーザーを狙ってきた情報窃取・ダウンローダー型マルウェアである。また「OtterCookie」は、2024年12月にNTTセキュリティ・ホールディングスによって最初に公開されたもので、情報窃取と遠隔コマンド実行機能を兼ね備えている。

調査では、北朝鮮系グループの手口（TTPs）と一致する複数の特徴が挙げられている。

• Npoint.ioの悪用（2025年11月にセキュリティ企業NVISOが同キャンペーンとの関連を指摘）
• api.ipify.org および ip-api.com を利用したパブリックIPアドレスと位置情報の二重照会
• OtterCookieと共通点を持つC2アーキテクチャ
• インストールごとに付与される数値キャンペーンID（10、12、44、79、95、99。過去のマルウェア「PolinRider」と同様のタグ付け手法）

一方でOpenSourceMalwareは、攻撃ツールの設計に重大な重複があるものの、インフラストラクチャや被害者の傾向、キャンペーンのメタデータ、電子署名などの面において、現段階で北朝鮮による犯行と結論づける決定的な証拠までは得られていないと説明している。