「119Edge 」Edge 便利なツールだと謳っていたが、実際にはマルウェアがダウンロードされてしまった

マイクロソフトは、あるアドウェアキャンペーンに関連していた119個の拡張機能を、Edge 削除した。

「Inside StegoAd: How We Disrupted a Massive Malicious Extension Campaign」と題された論文の中で、マイクロソフトの研究者たちは、ブラウザ拡張機能を悪用してユーザーを感染させる高度なマルウェアキャンペーンをどのように発見し、阻止したかを詳述している。マイクロソフトによると、このキャンペーンには119の悪意のあるブラウザ拡張機能が関与しており、260万人のユーザーがそれらをダウンロードしたという。

これらの拡張機能はすべて、広告ブロッカー、VPN、翻訳ツール、動画ダウンローダー、電卓、クーポン拡張機能など、ある種の基本的な機能を提供すると謳い、実際にその機能も提供していました。しかし、しばらくすると、それらは「潜伏型」であることが判明し、密かに追加のマルウェアをダウンロードし始めたのです。

ペイロードの中には、広告詐欺に関与するマルウェアが含まれていたほか、サーバーから送信された任意のJavaScriptを実行する拡張機能も含まれていました。これらは、ログイン時にGoogleの認証情報や二段階認証コードを盗み出し、WordPressの管理画面へのログイン情報を収集し、セッションハイジャックを目的としてCookieを一括で盗み出していました。

「StegoAd」というキャンペーン名は、「広告（advertising）」と「ステガノグラフィ（steganography）」という単語に由来しています。ステガノグラフィとは、一見して疑いを抱かせないものに秘密を隠す手法を指します。このケースでは、画像の中にコードを隠すことを意味します。

サイバー犯罪者たちは、しばらく時間を置いて目立たないようにしたり、画像の中に悪意のあるコードを隠したりして検知を逃れようとしただけでなく、一部の被害者には手を出さなかった。 一部の拡張機能は、インストールされたケースの約10％でのみ悪意のある動作を行い、実際にマルウェアの次の段階を実行しましたが、残りの約90％は（少なくともその実行試行に関しては）何もしませんでした。また、場合によっては、信頼性をさらに高めるために、よく知られた正規の拡張機能の名前を流用することもありました。

ブラウザ拡張機能は、サイバー犯罪者にとって格好の標的となっています。というのも、これはブラウザ内に常駐する小さなプログラムをインストールするようなもので、インターネット上でのユーザーのあらゆる行動を監視し、報告することができるからです。

「Edge使ってないよ」とか、「お気に入りのブラウザをダウンロードしてインストールするために一度だけ使ったことがある」と思っている方もいらっしゃるでしょう。しかし、このキャンペーンを発見・分析したのはマイクロソフトですが、このキャンペーンで使用された手法は、Chromiumベースのブラウザ全般に適用可能です。

このキャンペーンは、ブラウザの脆弱性を悪用することよりも、ユーザーを騙して信頼できそうな拡張機能をインストールさせ、その後、高度な隠蔽手法を用いて検知を回避し、システムを侵害するまでの時間を稼ぐことに主眼が置かれていた。

安全に過ごすには

信頼できるアプリストアからであっても、拡張機能をダウンロードする際は常に注意が必要です。これまで何度も見てきたように、犯罪者は、あと1回のアップデートでマルウェアに変わりかねないアプリや拡張機能を、なんとかしてストアに掲載させてしまうことがあります。ですから、開発者を信頼できるかどうかを必ず確認し、レビューだけに頼らないようにしましょう。

最新のリアルタイムセキュリティソリューションを使用して、デバイス上の悪意のある拡張機能を検出して削除し、悪意のあるドメインやIPアドレスへの接続をブロックしてください。ブラウザから既知の悪意のある拡張機能を削除してください。以下は、研究者が特定した悪意のある拡張機能を名称順に並べたリストです。

同じ名前の拡張機能が複数存在する可能性がある点にご注意ください。インストール済みの拡張機能がその中に含まれているか不明な場合は、IDがリストに表示されているものと一致するかどうかを確認してください。IDで検索したい場合は、Microsoftのレポート（40～43ページ）に、別の分類で掲載されています。

脅威を報告するだけでなく、取り除く

サイバーセキュリティのリスクは、ヘッドラインを超えて広がるべきではありません。今すぐMalwarebytes ダウンロードして、デバイスに脅威を持ち込まないようにしましょう。