不正なGoogle Chromeの拡張機能によりページが書き換えられ、総額500万円分の仮想通貨が盗み取られる | 匿名ブログ

不正なGoogle Chromeの拡張機能によりページが書き換えられ、総額500万円分の仮想通貨が盗み取られる Google ChromeやFirefoxなどのウェブブラウザは、ブラウザの機能を向上させるために第三者が開発した自作のソフトウェアをブラウザ内で動作させる「拡張機能」「アドオン」などの仕組みを備えています。 今月3日、Chromeの拡張機能マーケットプレイス「Chromeウェブストア」において、「ドテンくる」という名前で配信されていた拡張機能が、利用者の仮想通貨を窃取する不正なコードを埋め込んでいたことがユーザーの報告で明らかになりました。 ドテンくる これは詐欺です bitflyer bitmexの全サイトの自分のデータの読み取りと変更 と、いう内容が含まれており 送金のアドレスが書き換わってる事例が何件か発生。 入れてる人は即座にアンインストール推奨&確認お願いします rt

[daruyanagi]

“拡張機能のリリース直後からこのような動作が行われていたのではなく、しばらくは正規のソフトウェアとして稼働していた” 頑張った割には実入りが微妙やなー

[master-0717]

Chrome拡張ってContent-Security-PolicyバイパスするのかbitFlyerとBitMEXがCSPヘッダー返してないのかどっちなんだろ

[howdy39]

権限が強い拡張機能は気をつけないとなぁ

[puruhime]

人間がセキュリティホール

[mashori]

仮想通貨泥棒、本当にあの手この手でやってくるな…

[KAN3]

こういうの全部審査で弾くのは無理だろうし、もっと怪しくない拡張でも起こりえる問題だから決済関係の時だけIE使うか拡張全部切るとかしないと危ないな

[dobonkai]

怪しくなく真っ当に動いていた拡張機能がある日突然悪質な挙動を見せるようになったのも過去にあったわけで今回の被害者を危機意識の欠如と笑う気にはなれない

[travel_jarna]

イケ◯ヤが、前にやってたやつだ（似てる）。

[kaos2009]

[「Chromeウェブストア」において、「ドデンくる」という名前で配信されていた拡張機能

[kita-tuba]

不正なGoogle Chromeの拡張機能によりページが書き換えられ、総額500万円分の仮想通貨が盗み取られる

[Cujo]

あんちうぃるすかくしゃのうごきはどうだったんだろう（ぺーじかきかえだけならぐりーすもんきーなんかとくべつもできない？

[akulog]

GoogleもそのうちAddonを無効にするっていってたけど、そもそも仕組みとしてやばかったから早くしろよくらいにしか思ってなかった。つまり早くしろ。

[stealthinu]

仮想通用に正しく使えるプラグインとして提供しておきあとからjqueryの中に難読化した窃盗プログラムを入れる手口。既にあるプラグインを買い取ってやられたのはあったが今回は新しく作っている。

[Fushihara]

入ってる拡張の権限の一覧とか、拡張がアクセスしたドメインの一覧とか見たい。

[wasarasan]

attrメソッド？ こんなことされたらほんとどうしようもないなぁ。でも、この状況でどうやって捕まらないようにするのか想像つかんわ。こういう時のための開発者登録やろ。

[doorblk22k]

よくやるなぁ

[taku-o]

これは今後の推移が楽しそうな事件だな(被害にあった人は楽しくないけど)

[Journey]

先日削除した拡張機能も機能しなくなったので削除しようとしたら変な広告ページに飛ばされたな。Google ももう少し審査してくれると助かるんだけど

[fashi]

「jQueryの圧縮版のコード内に紛れ込む形で埋め込まれていました」

[lbtmplz]

こわやこわや…

[filinion]

暗号通貨それ自体は安全かも知れないが、ブロックチェーンと人間のユーザーをつなぐのは普通の人間やソフトウェアで、そこは別に安全でない、という話。通信を暗号化しても画面をのぞき見られたら無意味なのと同じ。

[yoiIT]

“「Chromeウェブストア」において、「ドデンくる」という名前で配信されていた拡張機能が、利用者の仮想通貨を窃取する不正なコードを埋め込んでいた”

[main]

欲は地獄の穴。

[htnmiki]

銀行サイトでこれやられたらたまらんな

[IGA-OS]

変な拡張機能を入れて泣かないようにしましょう

[altar]

“日常的に大きな額の暗号通貨を扱う場合…入出金操作を行う環境を隔離する” 当たり前すぎる。救済システムが一切ない暗号通貨を拡張機能入りブラウザとかいうザル環境で扱う感覚がまったく理解できない。

[peketamin]

画面上部や文中に挟まった広告をその拡張機能と見間違った。

[kazuya030]

jquery.js の中にコード紛れ込ますのか、なるほど…

[lli]

機能拡張のアップデートで仕込まれると防ぎにくい。ストアのチェックも甘いというかない場合多いし。仮想通貨以外にも送金可能なマシンで起こりうる。

[uunfo]

そんな拡張入れる方があほ。オンラインバンキングの使い勝手を向上させる非公式な拡張を入れるようなもんだろ

[FirstMate]

これを防止するためにWindows UpdateでChromeをフリーズさせていた…？

[kyukyunyorituryo]

HTTP Headersの時と手口が似てる。