GlassWormがChrome拡張機能を偽装してRATを隠蔽する攻撃手法

【なぜ重要か】 GlassWormは開発者をターゲットにした多段階攻撃で、npmやGitHubの正規パッケージを侵害し、最終的にGoogle Docs Offlineを装った悪意のあるChrome拡張機能をインストールします。開発者の認証情報や仮想通貨ウォレット、システム情報を盗取するため、日本の開発者や企業にとって深刻な脅威となっています。

【ポイント】

• Solanaブロックチェーンのメモ機能をC2サーバーアドレスの隠蔽に悪用し、従来の手法では検知・遮断が困難な通信チャネルを構築
• 3段階の攻撃で、Stage 1では地理的フィルタリング（ロシア地域を除外）とレート制限、Stage 2では71種類のブラウザウォレット拡張機能とnpm/git認証情報を窃取
• Stage 3では永続的なWebSocket RAT「index.js」をインストールし、偽のGoogle Docs Offline拡張機能でキーストロークログ、Cookie、セッショントークンを収集
• ハードウェアウォレット（LedgerやTrezor）の接続を監視し、偽のUI画面でリカバリフレーズを詐取する専用バイナリを展開
• Google CalendarページからBase64エンコードされたペイロードURLを取得する間接的な配信手法を使用

【まとめ】 開発者は依存関係パッケージの検証を強化し、ブラウザ拡張機能のインストールを慎重に行い、ハードウェアウォレットの偽装UIに注意する必要があります。