最新の報道、解説、関連するテクノロジーストーリーを確認できます。
セキュリティ研究者のGal Weizman氏は、BragJackという概念実証（PoC）手法を明らかにした。この手法は悪意あるブラウザー拡張機能を利用して、5種類のブラウザーおよびサービスにおけるAIアシスタントを制御し、ファイルや閲覧データの読み取り、ユーザーに代わる操作の実行を可能にする可能性がある。研究では2万ドルを超える脆弱性報奨金を獲得し、CVE識別番号の発行にも至った。
2025年半ばから活動しているバンキングマルウェアのキャンペーンが、KREMLINツールを使用して、ユーザーの同意なしにChromeとEdgeへ悪意ある拡張機能をインストールし、パスワード、トークン、セッション、機密データを窃取している。Elastic Security Labsは約1,515台の感染システムを確認しており、その大半はブラジルに存在する。また、解析対策の検査メカニズムを悪用することで、現在のキャンペーンを無効化することに成功した。
Socketは、Google ChromeとMicrosoft Edge向けの19個の拡張機能を利用して、暗号資産、アカウントデータ、閲覧履歴を窃取できる悪意あるソフトウェアフレームワークを配布し、ClickFix型の詐欺ページを注入するキャンペーンを明らかにした。調査結果によると、この活動は2024年初頭に始まった可能性があり、一部の拡張機能は攻撃者に買収された後、自動更新によって悪意あるツールへと変化した。