アンインストールを困難にする機能を備えたブラウザー拡張機能

headless 曰く、

Webブラウザーの拡張機能管理画面の表示を妨げ、削除されにくくするという拡張機能(マルウェア)が発見された(Malwarebytes Labsの記事、 Ars Technicaの記事)。

Google Chrome向けの拡張機能「Tiempo en colombia en vivo」は、複数のYouTube動画を勝手に開き、クリックして再生回数を水増しするというものだ。Malwarebytesによれば、この拡張機能をインストールすると拡張機能管理画面「chrome://extensions/」へのアクセスが「chrome://apps/?r=extensions」にリダイレクトされるという。

Chromeはコマンドラインスイッチ「--disable-extensions」を付けて起動することで拡張機能を無効にできるが、この状態では管理画面に拡張機能が一切表示されない。この拡張機能の.jsファイルをリネームすることで削除可能になるようだが、Malwarebytesでは無料版のMalwarebytesアプリケーションによる削除を推奨している。「Tiempo en colombia en vivo」はGoogleのChrome Webストアで公開されていたが、別のWebサイトから強制的に拡張機能を追加させる方法でインストール回数を増やしていたようだ。

同様にFirefoxからの削除を妨げる拡張機能は「FF Helper Protection」「FF Antivirus」などの名称で表示され、Web検索を乗っ取るといった活動をするようだ。こちらは拡張機能管理画面「about:addons」への移動を監視し、一致するとタブを閉じることで削除を妨げる。Firefoxの場合はセーフモードで起動することで削除可能なので、対策は比較的容易だ。この拡張機能はサードパーティのWebサイトでホストされており、Web広告を通じてFirefoxの手動アップデートが必要といった偽の通知を表示し、ユーザーをだましてインストールさせるとのことだ。

これとは別に、最近Chrome Webストアではマルウェアを含む拡張機能が4本見つかっており、うち1本は50万回以上インストールされていたという。またArs TechnicaのDan Goodin氏によれば、Chrome Webストアで公開されていた別のマルウェアを含む拡張機能が知人のWebサイトを連絡先として勝手に登録していたそうだ。