Chrome拡張のマルウェア動向

社内向け勉強会 Chrome拡張のマルウェア動向 開発者が知っておくべき、拡張機能という名のバックドア 株式会社バラエナテック 幸⽥ 将司 2026/05/22

Who am I? 幸⽥将司(こうだまさし) セキュリティのフリーランスしてます Join: 最近やったこと 執筆: ● 株式会社BalaenaTech 代表取締役 ● 脆弱性診断⼠のキャリアデザインガイド(2025年2⽉) ● 株式会社Levii ● ASM導⼊検討を進めるためのガイダンス(2024年11⽉) ● SecuriST(R)認定Webアプリケーション脆弱性診断⼠試験委員 ● 脆弱性トリアージガイドライン作成の⼿引き(2024年5⽉) ● SecuriST(R)認定ネットワーク脆弱性診断⼠試験委員 ● CEH/CND認定インストラクター ● ISOG-J (⽇本セキュリティオペレーション事業者協議会) …etc 書籍: ● セキュリティエンジニアの知識地図(技術評論社)

Chrome拡張機能(Chrome Extensions) ができること Chrome Extensions Google Chromeブラウザに機能を追加し、使い勝⼿を向上 させる⼩さな追加アプリ、Microsoft Edgeでも利⽤可能 Chrome Extensionsができること ・Web上のスクレイピング（データ収集） ECサイトの商品情報など、データを自動で抽出して CSV化。(規約違反に要注意） ・通信の解析 ブラウザの通信を Burp Suiteなどのプロキシに送信す ることができる 偽AIアシスタント等の悪意のあるExtentions悪⽤事例が急増 ・定型文の高速入力（スニペット）

Chrome Extensionsの構成
manifest.json(設定‧権限):
{
"manifest_version": 3,
"permissions": ["cookies", "webRequest"],
"host_permissions": ["<all_urls>"],
"background": {
"service_worker": "background.js"
}
}

● permissions(権限)
○

cookieやリクエスト等の操作可能範囲の定義

● host_permissions
○

どのURL(オリジン)で操作できるか定義

○

拡張機能からの通信も含む

○

<all_urls>ならブラウザの全ての画⾯

● background
○

バックグラウンド処理の定義

○

minify(軽量化)や
obfuscator(難読化)されていることもある

😈わるいExtensionsができること 通信改ざん（Man-in-the-Browser） リクエスト‧レスポンスの書き換え 情報窃取 ログインや決済処理で流れるセッションも盗聴できる document.cookie を攻撃者サーバーへ送信 👉ChatGPT等のログインセッションを奪取 👉 "webRequestBlocking" があると強⼒に実現可能 保存パスワード‧トークン‧閲覧履歴の取得 👉 特に "cookies" / "webRequest" / "tabs" 権限は要注意 DOM改ざん XSSが可能、攻撃者の外部スクリプトを実⾏して バックドア化‧持続化 画⾯を書き換えてフィッシングや⾦融機関で不正な振り込み ⾃動アップデートで悪性コード注⼊ インストール後にコード変更（サプライチェーン攻撃） 👉 "host_permissions": ["<all_urls>"] は危険度⾼ ※hostが固定されていても攻撃可能 👉 最初は安全 → 後から悪化がよくあるパターン

😈わるいExtensionsができること 通信改ざん（Man-in-the-Browser） リクエスト‧レスポンスの書き換え 情報窃取 ログインや決済処理で流れるセッションも盗聴できる document.cookie を攻撃者サーバーへ送信 👉ChatGPT等のログインセッションを奪取 👉 "webRequestBlocking" があると強⼒に実現可能 保存パスワード‧トークン‧閲覧履歴の取得 DOM改ざん ブラウザ由来の操作はほぼ可能になる 👉 特に "cookies" / "webRequest" / "tabs" 権限は要注意 履歴を削除されると追跡も難しい... XSSが可能、攻撃者の外部スクリプトを実⾏して バックドア化‧持続化 画⾯を書き換えてフィッシングや⾦融機関で不正な振り込み ⾃動アップデートで悪性コード注⼊ インストール後にコード変更（サプライチェーン攻撃） 👉 "host_permissions": ["<all_urls>"] は危険度⾼ ※hostが固定されていても攻撃可能 👉 最初は安全 → 後から悪化がよくあるパターン

ストア審査を欺く「時間差攻撃」 Extensionsの登録にはストア審査が必要だが... Chrome Web Storeのアップデート時の審査が 初回ほど厳格ではない隙を突いた攻撃が可能☝ サプライチェーン攻撃 攻撃者が優良で⼈気の拡張機能を買収し、 信頼が蓄積された後にアップデートで悪意あるコードを注⼊ Googleのバッジがついていても悪⽤されている 難読化と動的読み込み ⼀⾒無害なコードに隠し、 特定サイト(AIサービス/⾦融機関/仮想通貨関連)でのみ発動 するようにロジックを隠蔽

VKontakte（ロシアのSNS）の被害事例 概要: VKカスタマイズツールに⾒えるChrome Extentions（VKStyles: ceibjdigmfbbgcpkkdpmjokkokklodmc）を通じて50 万⼈のVKontakteユーザーのアカウントが、乗っ取られる。設定は30⽇ごとにリセットされ、本⼈が選択した覚えのな いグループに⾃動的に登録されていた。2026年5⽉現在はWebStoreから削除、派⽣Extentionsは存命。 マルウェアの⼿法: ユーザーがExtentionsをインストール ↓ VKにログイン時にExtentionsがVKの特定アカウントへ勝⼿にアクセス ↓ VKの特定アカウントのプロフィールにC2のアドレス(GitHub)を記載 ↓ GitHubのリポジトリからJavaScriptの実⾏ファイルをDL VK(VKontakte) || FacebookのようなSNS

出典: Koi Security | https://www.koi.ai/blog/vk-styles-500k-users-infected-by-chrome-extensions-that-hijack-vkontakte-accounts マルウェアの挙動詳細 以下はExtensionsに含まれるコード ①パターンパッチング回避 マルウェアは実⾏時にメトリックIDを計算することで、静的 解析ツールの単純なパターンマッチングを回避。 'R-A-' + 843079 * 2 // Evaluates to: R-A-1686158 ↑は以下と同じようによう≠にふるまう。 ②C2の接続先⼊⼿ eval(e) // eはGitHubから取得したペイロードが渡される 攻撃者のVKプロフィールにアクセスし、メタタグからＣ２の アドレスを取得する →VKはhost_permissionsで許可されている ③C2からペイロードを取得 GitHubアカウント「2vk」に誘導され、難読化された JavaScriptを実⾏する →GitHubはhost_permissionsで許可されている マルウェアの流れ

マルウェアの機能 拡張機能コードにURLをハードコーディングしない: 検出とブロックがより困難 動的なアップデート: 攻撃者はVKプロファイルを編集することでペイロードを変更できる(30⽇でリセット) 正当なインフラストラクチャ: VK.com⾃体がC2調整機能を提供している 不審な外部ドメインがない: すべてVKトラフィックかGitHubへのアクセス ただし、GitHubのリポジトリにペイロードが残るため、検体の追跡を許してしまう 正常なセッションを使⽤する: CSRFトークン及びVKの正規セッションを使⽤している ☞ドロッパー(Extensions本体)を使⽤したり、C2との通信をHTTPに偽装する⼿段はよくあるマルウェアの挙動に近い

AI(Claude Code)を活⽤したマルウェア解析 解析⽤チェックリストの⾃動⽣成とフロー AIに⾷わせる 権限レベル設定 最新の攻撃⼿法(APT)を Claude Codeに 調整と実⾏ 教えた内容で期待値が出なけれ ドキュメント化しNotebookLMで 「危険な権限のレベル設定」と「不 ば、プロンプト等を調整。 AIにインプット 審なコードパターンの定義」を指⽰ 公開されたブロックリストを調査し て⾃動更新(できると嬉しい) 「適切な指⽰」さえできれば1からマルウェア解析も可能☝

Chrome Web Storeの利⽤規約に注意 Chrome Web Storeの規約では、ソースコードの抽出を含めた リバースエンジニアリングの⾏為が禁⽌されているため、ロジックの静的解析が難しい 通信先のレピュテーション確認 と manifest.jsonの調査は可能...? 出典: Google Chrome ウェブストア利⽤規約| https://ssl.gstatic.com/chrome/webstore/intl/ja/gallery_tos.html

Claudeが作成したマルウェア調査をするExtensions GuardExt（がーどえくすと） インストールされているブラウザ拡張機能を全てスキャンし、 潜在的なセキュリティリスクを可視化 リスクレベルと その理由が⼀⽬でわかる これは何をしてるの? 以下をチェックします ‧ 過剰なhost_permissionsを要求している(<all_urls>など) ‧"permissions" が過剰 ‧Chrome Web Storeに存在しない（サイドロード） ‧マルウェアとして報告されているかチェック ネットニュース (やじうまの杜)に 掲載されました🎉

Thank You! Extensionsにお困りの⽅は弊社にご相談ください GuardExtはChrome Web Storeからインストールできます https://chromewebstore.google.com/detail/guardext/okofagphbpbgnennblfkgdlclfmkadie

• https://chromewebstore.google.com/detail/guardext/okofagphbpbgnennblfkgdlclfmkadie