ChromeやEdgeをバックドア化する侵入後ツール「PEEP」が判明――拡張機能偽装とネイティブ連携でOSを遠隔制御

要点

• セキュリティ企業のSOCRadarは、ChromeやEdgeをバックドアに変える侵入後ツールキット「PEEP」の詳細を公表した。

• PEEPはブックマーク拡張機能に偽装し、設定ファイルの整合性値を偽造して公式ストアの検証を回避する。

• ネイティブメッセージング機能を悪用してOSコマンドを実行し、ファイル操作やプロセス探索を行う。

• 30秒ごとに平文HTTPでC2サーバーと通信し、Cookieや閲覧履歴の窃取、セッション乗っ取りを実行する。

• オープンソースの「RedExt」を基盤にしており、コード内の痕跡から中国語話者の関与が指摘されている。

• サイバーセキュリティ企業のSOCRadarは2026年9月7日、ChromiumベースのWebブラウザを標的とする高度な侵入後ツールキット「PEEP」の解析結果を公表した。PEEPはGoogle ChromeやMicrosoft Edgeのプロファイル内に正規の拡張機能として潜伏し、ホストOSを外部から操作可能なバックドアへと変える機能を持つという。攻撃者が事前に侵入を果たした端末上に展開され、ブラウザの正規機能を悪用して持続的な遠隔制御を可能にすると報告されている。

偽装拡張機能の配備と整合性検証の回避

PEEPは自身で初期侵入を行う機能を持たないポストコンプロマイズ（侵害後）フレームワークであり、攻撃者が事前に管理者権限やコード実行権限を確保した環境で展開される。ブラウザ上では「Smart Bookmarks」（ID: ejkndncpkdcjcikfhiamcdehdoegilbj）という名称のブックマーク拡張機能に偽装して動作する。

通常の拡張機能と異なり公式ストアを経由せず、プロファイルへ直接注入される。Chromium系ブラウザが備える設定改ざん検知機能「Secure Preferences」の整合性ハッシュ値を偽造することで、ユーザーへの警告やストア側のセキュリティ検証を回避して自動有効化される仕組みを持つ。

この導入処理には、開発者モードを有効化してサイドロード（非公式な経路での導入）を行う「install_silent.ps1」、設定ファイルを改ざんする「patch_secure_prefs.ps1」、レジストリ（HKCU Extensionsキー）や外部マニフェストで再登録してブラウザを再起動する「force_enable.ps1」といったPowerShellスクリプトが使用される。また、同様の挙動をLinux環境でも再現するためのPythonスクリプト「patch_secure_prefs_linux.py」も確認されている。

ネイティブ連携によるホストOSの制御

PEEPの大きな特徴は、ブラウザ拡張機能とローカルアプリケーションを連携させる仕組みである「Native Messaging（ネイティブメッセージング）」の悪用にある。

OSへのアクセスが必要なタスクが発生すると、補助実行ファイル「nm_host.exe」（識別子: com.peep.lab/nm_host.exe）を呼び出し、シェルコマンドの実行、ファイル管理、プロセスやサービスの探索を行う。一方で、画面のスクリーンショット取得やクリップボードの参照、悪意あるJavaScriptの注入といったブラウザ内の処理は拡張機能自身がローカルで実行する。ブラウザ機能とOSネイティブの実行を組み合わせることで、単なる情報窃取にとどまらず強力なリモートアクセスツール（RAT：遠隔操作ツール）として機能しているとSOCRadarは説明している。

C2通信とデータ窃取のメカニクス

PEEPはC2サーバー（指令サーバー、IPアドレス: 206.237.30[.]232、ドメイン: xfjcc[.]fun）へ平文のHTTP経由で30秒間隔のポーリング（定期問い合わせ）を行い、新規タスクを受信する。

通信には端末登録用の「/api/register」、User-Agentやタイムゾーンを送信する「/api/agents/<id>/heartbeat」、自身の更新を行う「/api/extension_update/」や「/api/extension_crx/」、実行結果を返す「/api/agents/<id>/task_result」などのAPIエンドポイントが用いられる。また「/api/exfil」を通じてCookie、直近の閲覧履歴、開いているタブ情報、アクティブなURL、端末のパブリックIPアドレスなどが自動送信される。C2側ではポート5001で管理画面向けのログインインターフェース（/login）や状態確認用エンドポイント（/health）も稼働している。

永続化の手法としては、サイドローディングのほか、企業向け強制インストールポリシー（ExtensionInstallForcelist、ExtensionSettings）やScriptCacheフォールバックが利用されている。

RedExtからの派生と脅威アクターの背景

PEEPは、過去のGlassWorm攻撃でも使われたオープンソースのブラウザデータ分析・セキュリティ検証フレームワーク「RedExt」を基盤に開発されている。専用のインストーラー、ネイティブホストブリッジ、ハートビート機能、自己更新機能、拡張されたコマンドセットが追加された派生版にあたる。

攻撃主体の特定は完了していないものの、ソースコード内に中国語で記述された痕跡が含まれていることから、セキュリティ研究者は中国語を話す脅威アクターが関与している可能性が高いと分析している。