Claude Codeで マルウェアも解析しちゃおう

Claude Code活⽤事例LT会 Claude Codeで マルウェアも解析しちゃおう 開発者が知っておくべき、拡張機能という名のバックドア 株式会社バラエナテック 幸⽥ 将司 2026/04/14

Who am I? 幸⽥将司(こうだまさし) セキュリティのフリーランスしてます Join: 最近やったこと 執筆: ● 株式会社BalaenaTech 代表取締役 ● 脆弱性診断⼠のキャリアデザインガイド(2025年2⽉) ● 株式会社Levii ● ASM導⼊検討を進めるためのガイダンス(2024年11⽉) ● SecuriST(R)認定Webアプリケーション脆弱性診断⼠試験委員 ● 脆弱性トリアージガイドライン作成の⼿引き(2024年5⽉) ● SecuriST(R)認定ネットワーク脆弱性診断⼠試験委員 ● CEH/CND認定インストラクター ● ISOG-J (⽇本セキュリティオペレーション事業者協議会) …etc 書籍: ● セキュリティエンジニアの知識地図(技術評論社)

Claude Code活⽤事例 「マルウェア解析Chrome拡張機能の作成」 Chrome Extensions Google Chromeブラウザに機能を追加し、使い勝⼿を向上 させる⼩さな追加アプリ、Microsoft Edgeでも利⽤可能 Claude Codeでやったこと 要求: ● 悪意のあるChrome Extensionsを使いたくない ゴール: ● 悪意のあるChrome Extensionsを検知できる ClaudeCodeでやったこと: 偽AIアシスタント等の悪意のあるExtentions悪⽤事例が急増 ● ブラウザ内で悪意ある挙動を検知する仕組みを実装

Chrome Extensionsの構成
manifest.json(設定‧権限):
{
"manifest_version": 3,
"permissions": ["cookies", "webRequest"],
"host_permissions": ["<all_urls>"],
"background": {
"service_worker": "background.js"
}
}

● permissions(権限)
○
●

cookieやリクエスト等の操作可能範囲の定義

host_permissions
○

どのURL(オリジン)で操作できるか定義

○

拡張機能からの通信も含む

○

<all_urls>ならブラウザの全ての画⾯

● background
○

バックグラウンド処理の定義

○

minify(軽量化)や
obfuscator(難読化)されていることもある

😈わるいExtensionsができること 通信改ざん（Man-in-the-Browser） 情報窃取 リクエスト‧レスポンスの書き換え document.cookie を攻撃者サーバーへ送信 ログインや決済処理で流れるセッションも盗聴できる 👉ChatGPT等のログインセッションを奪取 👉 "webRequestBlocking" があると強⼒に実現可能 保存パスワード‧トークン‧閲覧履歴の取得 👉 特に "cookies" / "webRequest" / "tabs" 権限は要注意 DOM改ざん バックドア化‧持続化 XSSが可能、攻撃者の外部スクリプトを実⾏して ⾃動アップデートで悪性コード注⼊ 画⾯を書き換えてフィッシングや⾦融機関で不正な振り込み インストール後にコード変更（サプライチェーン攻撃） 👉 "host_permissions": ["<all_urls>"] は危険度⾼ ※hostが固定されていても攻撃可能 👉 最初は安全 → 後から悪化がよくあるパターン

ストア審査を欺く「時間差攻撃」 Extensionsの登録にはストア審査が必要だが... Chrome Web Storeのアップデート時の審査が 初回ほど厳格ではない隙を突いた攻撃が可能☝ サプライチェーン攻撃 攻撃者が優良で⼈気の拡張機能を買収し、 信頼が蓄積された後にアップデートで悪意あるコードを注⼊ Googleのバッジがついていても悪⽤されている 難読化と動的読み込み ⼀⾒無害なコードに隠し、特定サイト(AIサービス/⾦融機関 /仮想通貨関連)でのみ発動するようにロジックを隠蔽

Claude Codeを活⽤したマルウェア解析 解析⽤チェックリストの⾃動⽣成とフロー AIに⾷わせる 権限レベル設定 最新の攻撃⼿法(APT)を Claude Codeに 調整と実⾏ 教えた内容で期待値が出なけれ ドキュメント化しNotebookLMで 「危険な権限のレベル設定」と「不 ば、プロンプト等を調整。 AIにインプット 審なコードパターンの定義」を指⽰ 公開されたブロックリストを調査し て⾃動更新(できると嬉しい) 「適切な指⽰」さえできれば1からマルウェア解析も可能☝

Claudeが作成したマルウェア調査をするExtensions GuardExt（がーどえくすと） インストールされているブラウザ拡張機能を全てスキャンし、 リスクレベルと その理由が⼀⽬でわかる 潜在的なセキュリティリスクを可視化 これは何をしてるの? 以下をチェックします ‧ 過剰なhost_permissionsを要求している(<all_urls>など) ‧"permissions" が過剰 ‧Chrome Web Storeに存在しない（サイドロード） ‧マルウェアとして報告されているかチェック ネットニュース (やじうまの杜)に 掲載されました🎉

Thank You! ご清聴ありがとうございました GuardExtはChrome Web Storeからインストールできます https://chromewebstore.google.com/detail/guardext/okofagphbpbgnennblfkgdlclfmkadie

• https://chromewebstore.google.com/detail/guardext/okofagphbpbgnennblfkgdlclfmkadie