Google、マルウェア化したChrome拡張機能をリモートから無効化

人気のChrome拡張機能「The Great Suspender」がマルウェア化し、GoogleはChromeウェブストアから削除するだけでなく、インストール済みの拡張機能をリモートから無効化したそうだ(Android Policeの記事、 The Vergeの記事、 Neowinの記事、 SlashGearの記事)。

The Great Suspenderは使用していないタブをサスペンドしてメモリ使用量を削減するオープンソースの拡張機能で、ソースコードはGitHubで公開されている。しかし、昨年6月に開発者が正体不明な新オーナーへのプロジェクト譲渡を発表し、10月にはGitHubでリリースされていない更新が公開されて怪しい動作をするようになったとの報告が出始める。この頃にはほぼマルウェア化確定との見方が広がっていたが、Googleは調査の結果問題なしとみなしていたようだ。

しかし、Googleは2月4日になって拡張機能の実行をブロックし、Chromeウェブストアからも削除する。これにより、ユーザーはサスペンドしていたタブを復元できなくなるトラブル(サスペンドしたタブのURLには元のURLが含まれるので、手作業で復元することは可能)にも見舞われることになった。

オープンソースのChrome拡張機能では昨年、Nano Defender/Nano Adblockerが新オーナーへ譲渡後にマルウェア化している。このケースも今回のThe Great Suspenderのケースと同様だが、長年プロジェクトを維持していた元の開発者が徐々に時間を取れなくなったことが譲渡の主な理由となっている。このようなケースは今後増えていくのだろうか。なお、昨年11月にMicrosoft Edgeアドオンサイトで人気拡張機能の偽物が複数発見された際、The Great Suspenderも含まれていたが、本件との関係は不明だ。

拡張機能の自動更新

[Anonymous Coward]

勝手に自動更新するのをやめりゃいいのに。
せめて自動更新止める手段が欲しいわ。
ローカルからインストールすりゃいいだけの話かもしれんが。

悪意のある拡張になるリスク ＞ 拡張の脆弱性リスクだからね

[Anonymous Coward]

拡張に脆弱性があったとしても、脆弱性を悪用するウェブサイトにアクセスしない限り、基本問題ない。
ところが、拡張がアップデートで悪意のあるマルウェア入りに入れ替えられたら、即悪用される。

特に個人がやっているフリーソフトの拡張というのは、悪意のある企業の買収に弱い。
作者が飽きてきたタイミング（更新頻度が少なくなってきたタイミングなど）に買収を持ち掛ければ簡単に買えてしまうからね。

その手口でオートコンプリートされたECサイトやクレカやオンラインバンキングのアカウント情報などを簡単に奪えてしまうので
数百万円で拡張を買収しても普通にペイしてしまう。

ってことで自動更新は危険だから止めた方がいい。
インストールするときは評判やら評価やらの情報を収集するが、その後は放置が基本だからいつの間にかマルウェアになって被害を受けてしまう。

悪用する立場からすれば、拡張の脆弱性探して突くよりも、拡張自体にマルウェアを埋め込む（稀に開発者のアカウントを乗っ取る手口もあるが二要素認証もあるし開発者はフィッシング等に引っかかりにくいので買収が基本）方がよっぽど合理的でこの手口は今主流になっている。

Re:

[Anonymous Coward]

ローカルからインストールする機能は廃止されたでしょ
おじいちゃんみたいな自称パワーユーザー(笑)が勝手に古いバージョンを使うと迷惑だから

Re:

[Anonymous Coward]

確かに安全な古いバージョン使われるとマルウェア仕込む側にとって迷惑ですよね

Re:

[Anonymous Coward]

過去にローカルから入れた拡張が削除されるわけじゃないので、古いバージョンに拡張入れてからアップデートでいける。

Re:

[Anonymous Coward]

chromium系は強制自動更新が広まってるからねぇ。
firefoxみたいに通知のみがあればいいのに。

Re:

[Anonymous Coward]

もし既存製品にセキュリティに問題が見つかったら
自動更新で助かることが多いでしょう
もう何度も何度も問題あったからね

どっちがより安全か、デフォルトは自動更新を有効にすべきだろうね
まぁ今回はそれを悪用したけど、それは別の問題かと

リモートから無効化

[Anonymous Coward]

1. ChromeウェブストアからChrome以外のChromium系ブラウザーにインストールした拡張機能はリモートから無効化できるのか。
2. できない場合、それはChromeを避けて他のChromium系ブラウザーを使う理由になるか。それとも他のChromium系ブラウザーを避けてChromeを使う理由になるか。

Re:

[Anonymous Coward]

2は意味ある問なのか？

Re:

[Anonymous Coward]

1.　基本的にはでき着ないと思われる
理由　Chromium系ブラウザは大抵の場合ブラウザからgoogleに送られる識別子を送信しないように設計してあるため、その識別子を使ってインストールされている拡張機能の判別が着かないため

2.　使う理由になる
理由　今時GAFAなどに情報を送られたくないと思っている人も多いし、それぞれ他のChromium系ブラウザーごとに独特のカスタマイズが加えられているためそれを使いたいなら理由になる

Googleよくれぐれも初心を忘れずに

[Anonymous Coward]

don't Be Evil

Re:

[Anonymous Coward]

「イービル」と「グーグル」は似てる
ペットを愛玩と表現したり日本語は素晴らしいな

昨年の時点であわてて削除してたが

[Anonymous Coward]

コミュニティ含めてあまり危険性は広まってなかったからな・・・どこまで読み取られていたのか被害内容が知りたいorz

if ipv6

[Anonymous Coward]

先月ごろ突然無効化されて何事かと思ったが、この流れなのかな。今みたらウェブストア自体から削除されてる・・・

とっとと譲渡を禁止にしろ

[Anonymous Coward]

開発を引き継ぎたければ別作品として新規登録すればいい
ついでだから、過去のバージョンと互換性を無くすのも禁止で

Re:

[Anonymous Coward]

本体がevilになった時に対応出来ないから、それじゃ対策にならななくない？

今まで出なかったけど収益化の為に広告が出るようになったら、ユーザーにとってはevilでも制作者にとってはそうじゃないから、そんなに簡単に白黒は付けられない。

Re:

[Anonymous Coward]

＞開発を引き継ぎたければ別作品として新規登録すればいい

それってサポートも切るって事だけど、理解してる？

Re:

[Anonymous Coward]

モデレーションした人はその理由を文章に書いて、それを一度自分で読み返してみるといい。

Re:

[Anonymous Coward]

シェア1位の悪口は言ってはいけないの？

Re:

[Anonymous Coward]

・根拠のない悪口・単なる誹謗中傷だと自分で認めている。
・シェア1位だからという理由で悪口を言いうことが正当化されると思っている。
・GoogleやChromeが嫌いだから悪口を言いたいだけ。

Re:

[Anonymous Coward]

ここじゃなく、マルウェアだという理由として#3973693にレスすべきでは？

Re:

[Anonymous Coward]

言ってもいいけど、評価されるレベルの投稿ではないな。
ちなみにFirefox派なので、擁護ではないです。

Re:

[Anonymous Coward]

Google信者の歯ぎしりが聞こえる

Re:Chrome自体が

[Anonymous Coward]

ｸﾞｸﾞﾙﾙﾙﾙ!