「Smart Bookmarks」を偽装したChrome／Edge乗っ取りツール「PEEP」 — 感染後の端末を裏口化、SOCRadarが解析を公表

SOCRadarの脅威研究部門（STRU）は2026年9月4日、Chromium（ChromeやEdgeの共通基盤）ベースの感染後ツールキット「PEEP」の解析結果を公表した。PEEPは正規のブックマーク拡張機能「Smart Bookmarks」（バージョン1.3.0）を装い、ChromeやEdgeの設定ファイルの改ざん検知を偽造して潜伏する。ブラウザの閲覧履歴やセッションクッキーを30秒ごとに指令サーバーへ送信するほか、OS側でのコマンド実行やファイル操作まで可能にする。PEEP自体には最初に侵入する手段がなく、管理者権限の奪取など既存の侵害を前提に設置される点が特徴である。

3つの部品でブラウザを裏口に変える仕組み

SOCRadarによると、PEEPは単一のマルウェアではなく、3つの部品を組み合わせた攻撃基盤である。ブラウザ拡張機能が主役のエージェントとしてChrome内に常駐し、指令の受け取り・ブラウザ情報の収集・結果の送信を担う。OS側の作業（シェル実行、ファイル操作、プロセス探索）が必要な場合は、ネイティブメッセージング（ブラウザが外部プログラムと連携する公式の仕組み）を通じて「nm_host.exe」と呼ぶ補助プログラムへ橋渡しする。指令サーバー側はPython製の管理パネルと指令APIで構成される。

拡張機能はタブ・クッキー・履歴・ブックマーク・保存データ・ダウンロード・プロキシ設定など広範な権限を要求し、対象はすべてのWebページに及ぶ。自動収集の対象にはクッキー、直近の履歴、開いているタブ、閲覧中のURLなどが含まれ、30秒を目安に指令の問い合わせと情報の送信を繰り返す。画面のスクリーンショット取得、ページ内容の取得、クリップボード、JavaScriptの挿入といったブラウザ内作業は拡張機能が直接こなし、OS側の作業だけを補助プログラムへ回す役割分担になっている。

指令基盤は単一ホストに集約、開発資材まで露出

PEEPの通信は単一のホストに集約されている。マルウェアにはIPアドレス206.237.30[.]232が直接書き込まれ、ドメインxfjcc[.]funも同じホストを指す。指令パネルとエージェント用APIはTCP 5001番ポートで動作し、TCP 5002番ポートでは開発・検証用のリポジトリが外部から閲覧できる状態で公開されていた。SOCRadarが確認したリポジトリには、peep-v9からpeep-v29へ連なる38種の開発版、ソースコード、動作試験の記録、ビルド資材に加え、主要な拡張機能の秘密鍵まで含まれていた。秘密鍵を持つ者は当該の拡張機能として署名した更新を配布できるため、SOCRadarは深刻な運用ミスと位置づけている。

指令パネルへのログイン画面は繁体字中国語で表示され、「授権CTF環境での使用に限る」との注意書きを掲げる。SOCRadarはこの表示について、AIの安全フィルター回避を狙った口実の可能性があると評価している。コード内の中国語の痕跡からは中国語を使う運用者の関与がうかがえるが、特定の攻撃グループへの帰属はSOCRadarも断定していない。

改ざん検知の偽造と企業ポリシーの悪用で潜伏する

PEEPの永続化（再起動後も残り続ける仕組み）は多層的である。Chromeは拡張機能の設定ファイル「Secure Preferences」に改ざん検知用の署名を付けるが、PEEPのインストーラーはChromium自身の署名計算を再現して正規の署名を偽造し、Webストアの審査や利用者への確認を迂回する。あわせて企業の強制インストールポリシー（管理者が指定した拡張機能を自動導入する正規機能）や、開発者モードを使わない静かな導入手順、予備の起動経路を組み合わせ、利用者に気づかれず実行を維持する。

SOCRadarは、署名付きのブラウザプロセス内で悪性ロジックが動作するため、新規・未署名の実行ファイルに着目する従来の検知をすり抜けやすいと指摘する。ブラウザが資格情報の窃取やセッションの悪用、コマンド実行のための中継点（ピボット）として機能し、ブラウザとOSを隔てる境界が実質的に無効化される、と同社は警鐘を鳴らしている。

オープンソースのRedExtを実戦向けに拡張した派生品

PEEPは、ブラウザ拡張機能型のC2研究プロジェクトであるオープンソースの「RedExt」を土台にしている。登録・指令問い合わせ・情報送信といった基本手順や主要な関数を受け継ぐ一方、SOCRadarによると、導入手順、ネイティブメッセージングの橋渡し、心拍（生存通知）送信、更新配布チャネル、大幅に拡張された指令セットが独自に追加されている。総ファイル数こそ多いものの、ハッシュ値の突き合わせでは実体は数種のスクリプトと同一の補助プログラムに集約され、単一の運用者が反復開発したものとSOCRadarは評価している。

SOCRadarが推奨する対策

SOCRadarは管理者向けに以下の対策を推奨している。

• 指令・配布ホストであるIPアドレス206.237.30[.]232宛ての通信を境界と egress（外部向け）ファイアウォールで遮断し、TCP 5001番（指令パネル・API）と5002番（公開リポジトリ・配布）への到達を監視・制限する
• 拡張機能ID「ejkndncpkdcjcikfhiamcdehdoegilbj」（主要なSmart Bookmarks偽装体）と「bibjjhidpdmfcbkodddndmoejcloobdh」（別鍵の検証用亜種）を企業管理ポリシーで棚卸しして強制アンインストールし、レジストリのNativeMessagingHosts配下の「com.peep.lab」やホスト側のnm_host.exe、%LOCALAPPDATA%配下のPEEP関連ファイルを除去する
• グループポリシーやMDMでChromium拡張機能の許可リスト運用を徹底し、開発者モードを無効化、外部からのサイドローディング（正規ストア外からの導入）を制限、ネイティブメッセージングの接続先を承認済みプログラムに限定する
• ブラウザのSecure Preferencesへの非ブラウザプロセス（PowerShellなど）からの書き込みや署名偽造の痕跡をEDRで検知する
• ブラウザの保存データ保護（App-Bound Encryptionの利用）と、セッション窃取に耐えるフィッシング耐性MFA（FIDO2／WebAuthnのハードウェアキーなど）を導入する

利用者側で拡張機能の一覧に見覚えのない「Smart Bookmarks」があれば、安易に削除するだけでなく、組織の管理者やセキュリティ窓口へ連絡して端末全体の調査につなげることが望ましい。PEEPは感染後のツールであり、見つかった場合は別の侵入経路が存在する可能性が高いためである。

出典

• SOCRadar, “PEEP: A Browser RAT Posing as a Chrome Extension”（2026年9月4日）: https://socradar.io/blog/peep-browser-rat-chrome-extension/