ShadyPanda 悪意のあるブラウザ拡張機能
長期的なサイバーエクスプロイトの顕著な例として、ShadyPandaとして知られる脅威アクターがブラウザ拡張機能を標的とした7年間のキャンペーンを展開し、430万件以上のインストールを記録しました。この活動は、適切な監視がなければ、正規のソフトウェアでさえ武器化される可能性があることを如実に示しています。
目次
合法的なツールから悪意のあるアップデートまで
侵害された拡張機能のうち5つは、当初は正規のアプリケーションとして提供されていましたが、2024年半ばに悪意のある機能が追加されました。これらのアップデートは、最終的に削除されるまでに約30万回インストールされました。悪意のあるアップデートにより、1時間ごとのリモートコード実行が可能になり、攻撃者はブラウザへのフルアクセスで任意のJavaScriptをダウンロードして実行できるようになりました。これらの拡張機能は、有効化されると以下のようになります。
- 訪問したすべての Web サイトを監視します。
- 暗号化された閲覧履歴を盗み出します。
- 完全なブラウザのフィンガープリントを収集します。
注目すべき例としては、Googleによって検証済みのClean Masterが挙げられます。この公式ステータスにより、ShadyPandaはユーザーベースを拡大し、悪意のあるアップデートを疑われることなく実行できるようになりました。
人気のアドオンによる大規模監視
WeTabを含む5つの拡張機能は、ユーザーを大規模に監視していました。これらのアドオンは、URL、検索エンジンのクエリ、マウスクリック、その他のブラウザインタラクションを追跡し、そのデータを中国にあるサーバーに送信していました。これらの拡張機能は合計で約400万回インストールされ、WeTabだけでも300万回インストールされました。
悪意のある行為の初期の兆候は2023年に現れ、開発者の「nuggetsno15」と「rocket Zhang」が、壁紙や生産性ツールを装った20個のChrome拡張機能と125個のEdge拡張機能を公開しました。
アフィリエイト詐欺とブラウザハイジャックの悪用
ShadyPandaの拡張機能は当初、アフィリエイト詐欺を目的としており、eBay、Amazon、Booking.comなどのサイトにトラッキングコードを挿入して不正なコミッションを得ていました。2024年初頭までに、この戦術はアクティブブラウザコントロールへとエスカレートし、以下のようなものになりました。
- 検索クエリの収集。
- 既知のハイジャッカーであるtrovi.com を通じて検索をリダイレクトします。
- 対象ドメインから Cookie を盗み出す。
2024年半ばまでに、長年合法的に使用されてきた3つの拡張機能が改変され、「api.extensionplay.com」から1時間ごとにJavaScriptペイロードを取得し、それを実行してサイト訪問を監視し、暗号化されたデータを「api.cleanmasters.store」に送信するようになりました。ペイロードは高度に難読化されており、開発者ツールが検出されると無害モードに移行し、マルウェアの検出を回避していました。
高度な攻撃能力
これらの拡張機能は追跡以外にも、中間者攻撃 (AitM) 攻撃を仕掛ける可能性があり、次のことが可能になります。
- 資格情報の盗難。
- セッションハイジャック。
- 任意のサイトへの任意のコード挿入。
WeTabなどのMicrosoft Edgeアドオンの登場により、監視は強化されました。これらのアドオンは、スクロール動作、ページでの滞在時間、すべてのブラウザフィンガープリントなど、ユーザーインタラクションを広範囲に記録していました。これらの拡張機能は、それぞれのマーケットプレイスからダウンロードできなくなりました。
ユーザーへの推奨アクション
このキャンペーンは4つの異なる段階を経て進行し、正規のツールから高度なスパイウェアへと進化しました。ダウンロード数が正規のツールに見せかけるために人為的に水増しされたかどうかは不明ですが、ユーザーへのリスクは依然として深刻です。これらの拡張機能をインストールしたユーザーは、直ちに拡張機能を削除し、すべてのオンラインアカウントのパスワードを変更する必要があります。
影響を受ける拡張機能の例:
- Clean Master: 最高のChromeキャッシュクリーナー
- Speedtest Pro - 無料オンラインインターネット速度テスト
- ブロックサイト
- アドレスバーの検索エンジン切り替え
- SafeSwift 新規タブ
- Infinity V+ 新規タブ
- OneTab Plus: タブ管理と生産性向上
- WeTab 新标签页
- モバイル向けInfinity New Tab
- インフィニティ新規タブ（プロ）
- インフィニティ新規タブ
- ドリームアファーの新規タブ
ShadyPandaの成功は、技術的な洗練度だけでは十分ではないことを強調しています。このキャンペーンは、ブラウザ拡張機能マーケットプレイスにおけるシステム的な脆弱性を悪用することで成功を収めました。拡張機能は提出時に審査されますが、承認後の行動はほとんど監視されていません。この長期にわたる監視のギャップにより、信頼されたツールが静かに監視プラットフォームへと進化し、検証済みのソフトウェアであっても常に警戒を怠らない必要性を浮き彫りにしました。
