セキュリティ企業のAvastが、個人情報を窃取する機能を持った悪意あるGoogle ChromeおよびMicrosoft Edge向けの拡張機能28個を特定したことを2020年12月17日に発表しました。各拡張機能のダウンロード回数から、被害を受けたユーザーは最大で300万人にのぼると見られています。
Malicious Browser Extensions | Avast
https://blog.avast.com/malicious-browser-extensions-avast
Avast Press | Third Party Browser Extensions for Instagram, Facebook, Vimeo and Others Infected with Malware
https://press.avast.com/third-party-browser-extensions-from-instagram-facebook-vimeo-and-others-infected-with-malware
Three million users installed 28 malicious Chrome or Edge extensions | ZDNet
https://www.zdnet.com/article/three-million-users-installed-28-malicious-chrome-or-edge-extensions/
Avastは12月17日に公式ブログを更新し、同社のセキュリティ研究者がChromeとEdge向けの拡張機能配布サイトで、合計28個の悪意ある拡張機能を発見したことを報告しました。これらの拡張機能は、Facebook・Instagram・Vimeo・Spotifyなどのサイトからコンテンツをダウンロードできるようにする機能を装っており、被害を受けた可能性があるユーザーは最大で300万人に達すると推測されています。
発表によると、今回特定された28個の拡張機能には、端末にマルウェアをインストールさせるようなJavascriptベースの悪意あるコードが仕込まれていたとのこと。また、ブラウザでクリックしたリンクのURLを攻撃者のサーバーに送信したり、リンク先を任意のURLにすり替えてから、改めて元のリンク先にリダイレクトさせる機能を持つものもありました。こうした一連の手口により、攻撃者が被害者から盗み出していた情報には、生年月日・メールアドレス・デバイス名・OS・使用しているブラウザとそのバージョン・IPアドレスなどが含まれていたことが判明しています。
Avastのマルウェア研究者であるJan Rubín氏は、「これらの拡張機能には、あらかじめマルウェアが混入された状態で公開されたものもあれば、人気になるのを待ってからマルウェアを仕込んだアップデートが行われたものもあると考えられます。また、元の作者が拡張機能を別の誰かに売却し、購入者が後からマルウェアを組み込んだ可能性もあります」と話しました。
また、別のマルウェア研究者であるJan Vojtěšek氏によると、マルウェアの中には検索履歴などからユーザーがソフトウェア開発者なのかを判別し、開発者だった場合は悪意のある動作を自粛する機能を持ったものもあったとのこと。これには、不正な挙動を見抜けるような知識を持ったユーザーから、悪意がある拡張機能であることを隠す狙いがあったと推測されています。
今回、Avastが特定した悪意ある拡張機能のうち、Chrome向けのもの15個は以下のとおり。AvastはすでにGoogleにこの件を通報しており、記事作成時点では15個全てがChromeウェブストア上から削除されています。
・Direct Message for Instagram
・DM for Instagram
・Invisible mode for Instagram Direct Message
・Downloader for Instagram
・App Phone for Instagram
・Stories for Instagram
・Universal Video Downloader
・Video Downloader for FaceBook™
・Vimeo™ Video Downloader
・Zoomer for Instagram and FaceBook
・VK UnBlock. Works fast.
・Odnoklassniki UnBlock. Works quickly.
・Upload photo to Instagram™
・Spotify Music Downloader
・The New York Times News
また、Edge向けの拡張機能は以下のとおり。13個のうち記事作成時点では2個のみが削除されており、残りは依然としてブラウザにインストールすることが可能です。これについて、IT系ニュースサイトZDNetにコメントを寄せた情報提供者は、「MicrosoftはAvastのレポートを確認できていない」と話しているそうです。
・Direct Message for Instagram™
・Instagram Download Video & Image
・App Phone for Instagram
・Universal Video Downloader
・Video Downloader for FaceBook™
・Vimeo™ Video Downloader
・Volume Controller
・Stories for Instagram
・Upload photo to Instagram™
・Pretty Kitty, The Cat Pet
・Video Downloader for YouTube
・SoundCloud Music Downloader
・Instagram App with Direct Message DM
Avastは上記の拡張機能をダウンロードしたユーザーに対し、拡張機能を無効にしてアンインストールし、アンチウイルスソフトでマルウェアをスキャンして削除することを推奨しています。
