Microsoft、画像にマルウェアを隠す悪質なEdge拡張機能119個を削除――最大260万人に影響か

Microsoftは、Edge Add-onsストアから119個の拡張機能を削除し、90以上の開発者アカウントを停止した。これは「StegoAd」と呼ばれる脅威アクターによるキャンペーンで、一見普通の画像やフォントファイルの中に悪意あるコードを隠し、インストールから数日経ってから資格情報の窃取や広告詐欺を実行していたという。同社が公開した技術レポートによると、影響を受けた拡張機能の累計インストール数は最大で260万ユーザーに達する可能性があるとされている。

■一般的な不正拡張機能と「StegoAd」の違い

広告ブロッカー、VPN、翻訳ツール、クーポンツールなどのカテゴリを標的にする悪質な拡張機能は珍しくない。しかし、StegoAdを際立たせているのは、ペイロード（悪意あるコード）が格納されていた場所である。このアクターは、明らかに悪意があると分かるコードをそのまま配信するのではなく、拡張機能自体のアイコンや、同梱されている画像・フォントのアセット内にコードを隠していた。

このコードはインストール後、数日間にわたって休止状態を維持する。そして、レビュー担当者や研究者、自動スキャナーを検知するために構築された、開発者ツール（DevTools）検知回避チェックをクリアした後にのみアクティブ化していた。もし拡張機能がブラウザの開発者ツールウィンドウが開いていることを検知すると、アナリストの目の前でアクティブ化するリスクを避けるため、休止期間をさらに延長する仕組みになっていた。

■アイコンやフォント内に長期間潜伏できた手法

Microsoftの技術レポートによると、検知技術の向上に合わせて進化するPNG、WebP、WOFF2のステガノグラフィー技術（情報を他のデータに埋め込む技術）が使われていたという。初期のバージョンでは、PNG画像ファイルの終端マーカーの後に悪意あるデータを追加することで、画像を正常に表示させつつ、スキャンを回避する余分なコンテンツを保持させていた。防御側がこれに対応すると、アクターはWebP画像、さらにはWOFF2フォントファイルへと移行し、ファイルを直接検査する人には普通のフォントメタデータやアジア言語のテキストに見えるグリフデータの中へと、実行ロジックを隠蔽した。

さらに高度な亜種の中には、ペイロードをローカルに一切保存しないものもあった。代わりに、拡張機能がコマンド＆コントロール（C2）サーバーから一見普通の画像を取得し、大文字小文字の入れ替え、数字の入れ替え、Base64、XORといった複数レイヤーの難読化を解除した上で、署名と照合して実行していた。C2インフラ側でもフィルタリングが行われており、リクエストがデバイスのフィンガープリントやUser-Agentによるゲートチェックを通過しなければ、サーバーは本物のペイロードを返さなかった。セキュリティ研究者などがサーバーを直接調査しても、代わりに空のデコイ（おとり）応答が返されるだけだったという。

■Edgeにとどまらない脅威の広がり

StegoAdを長年にわたり潜伏させたこの手法は、Edgeや特定の拡張機能カテゴリ、あるいは画像だけに限定されるものではない。ステガノグラフィーによるペイロード隠蔽は、画像やフォントのバイト内にある異常なパターンではなく、実行可能コードを検出するように調整された自動スキャナーに対して効果を発揮する。Microsoftのレポートでも、同様の侵害指標（IoC）はChromeを含むすべてのChromiumベースのブラウザに適用されると指摘されている。

これが意味するのは、StegoAdが単なるEdgeにおける一回限りのクリーンアップにとどまらず、他の拡張機能ストアの別のアクターが模倣できる手法の実証になってしまっているということだ。提出時に拡張機能のコードがどうなっているかをチェックする「静的コードレビュー」だけでは、実行時に組み立てられるまで悪意あるロジックが存在しない場合、もはや十分な対策とは言えない。

■アクティブ化したペイロードの実際の挙動

マルウェアはアクティブ化すると、主に2つの目的を果たしていた。Microsoftによると、119個の拡張機能のうち約75個は、主にアフィリエイト詐欺や広告詐欺を目的に構築されていた。ページへの広告挿入、追跡リンクを経由したユーザーナビゲーションの再ルーティングによるAmazon、eBay、AliExpressなどのサイトでのアフィリエイト報酬の乗っ取り、そして検索クエリのリダイレクトなどを行っていたという。

より規模は小さいものの、さらに危険なサブセットには資格情報を窃取する機能が含まれていた。これらの拡張機能は、攻撃者のサーバーから送信される任意のJavaScriptを実行することができた。Microsoftによると、これによりログイン時のGoogle資格情報や2要素認証コードの窃取、WordPress管理者ログイン情報の収集、セッション乗っ取りのためのブラウザクッキーの一括流出が可能になっていた。一部の亜種には、リモートコード実行（RCE）のバックドアも含まれていたという。

■資格情報窃取インフラと中国の活動グループとの関連性

MicrosoftはStegoAdの背後にいるアクターの名前を公式には明らかにしていないが、外部の独立した研究者たちは過去のキャンペーンとの明確な関連性を指摘している。セキュリティ企業のKoi Securityは、資格情報窃取ペイロードのデータ流出先ドメインである「mitarchive.info」を、同社が「DarkSpectre」として追跡している活動グループに関連付けた。Koi Securityは、Alibaba CloudによるC2ホスティング、湖北省に関連するICP登録、中国語のコードコメント、そしてJD.comやTaobaoといった中国のECプラットフォームを標的にした詐欺スキームに基づき、このアクターを中国に関連があると評価している。

Koi Securityは以前、この同じインフラを「ShadyPanda」および「GhostPoster」という2つの初期の拡張機能キャンペーンに関連付けていた。これらに、より最近のキャンペーンである「The Zoom Stealer」を加えると、約7年間で880万以上のユーザーに影響を与えている。StegoAdとの重複は、共有インフラだけにとどまらない。StegoAdが拡張機能のアイコン内にコードを隠す手法は、GhostPosterが数ヶ月前に使用した手法と同一であり、両方のキャンペーンにわたって「Ads Block Ultimate」など複数の拡張機能が名前を共有している。Microsoftは、StegoAdの背後にいるアクターは依然として活動を続けていると述べている。

■Edge拡張機能のマルウェアチェック方法

Microsoftは、現在インストールされているすべての拡張機能を、公開されているIDリストと比較することを推奨している。ブラウザで「edge://extensions」を開き、すぐに見覚えのないものや使っていないもののIDをメモし、Microsoftの技術レポートと照合してほしい。もし拡張機能がリストと一致した場合、あるいはEdgeによってすでに自動的に削除されている場合は、ブラウザが侵害された可能性があるものとして対処する必要がある。

具体的には、Google、メール、オンラインバンキング、WordPressなどの機密アカウントのパスワードを変更し、不審なアクセスがないか最近のサインイン履歴を確認する。また、SMSベースのコードはこの種の資格情報窃取に対して保護が弱いため、可能な限りハードウェアキーによる2要素認証への移行を検討してほしい。

今回の削除劇は、公式の拡張機能ストアを通じて配信されていることが、信頼のシグナルであっても安全の保証ではないことを改めて思い出させるものとなった。StegoAdの拡張機能は、ほとんどのユーザーに対して宣伝通りの機能を果たしていた。だからこそ、アイコンやフォントに隠された機能が有効化される前に、長年にわたってレビューやインストール数を積み重ねることができたのである。

■注目ポイントQ&A

●ブラウザの拡張機能が悪意あるものかどうか、どうすれば見分けられますか？

拡張機能が休止状態の間は、明らかな兆候が見られることはほとんどありません。StegoAdの拡張機能も、ほとんどのユーザーに対しては宣伝通りに動作していました。最も信頼できる確認方法は、インストールされている拡張機能のID（edge://extensions のデベロッパーモードで確認可能）を、ブラウザベンダーが公開している侵害指標（IoC）リストと照合することです。また、公表されている機能が必要とする以上の広範な権限を要求する拡張機能には注意してください。

●これはChromeにも影響しますか、それともMicrosoft Edgeだけですか？

削除された119個の拡張機能はEdge Add-onsストアを通じて配布されていましたが、Microsoftのレポートによると、同様のペイロード隠蔽や回避の技術はChromeを含むすべてのChromiumベースのブラウザに適用可能とされています。公開された侵害指標は、Edgeユーザーだけでなく、クロスプラットフォームでの防御を目的として提供されています。

●リストにある拡張機能がインストールされていた場合、どうすればよいですか？

拡張機能が有効だった間にアクセスした機密アカウント（特にGoogle、メール、オンラインバンキング、WordPressなど）のパスワードを変更してください。また、不審なアクセスがないか最近のサインイン履歴を確認し、SMSコードよりも強固な保護を提供するハードウェアキーによる2要素認証への切り替えを検討してください。

●StegoAdの背後にいる脅威アクターは、現在も活動していますか？

はい、活動を続けています。Microsoftによると、このアクターは依然としてアクティブであり、Koi Securityの独立した研究者も、このインフラを7年以上にわたり880万以上のユーザーに影響を与えた一連のキャンペーン（ShadyPanda、GhostPoster、The Zoom Stealer）に関連付けています。同じアクターによる別の拡張機能が、アクティブ化前の「信頼構築」フェーズとして、現在も流通している可能性があります。

元記事: Microsoft Pulls 119 Malicious Edge Extensions Hiding Malware in Images