ModHeader という悪意の Chromium エクステンション：ユーザーの閲覧ドメイン・データを収集／窃取

Chrome Extension Used by 1.6 Million Users Silently Included Data Exfiltration Capabilities

2026/07/14 CyberSecurityNews — 広く利用されるブラウザ・エクステンション ModHeader が、Chrome Web Store から削除された。その署名済みリリースに含まれるものとして、ユーザーの閲覧ドメイン・データの収集と暗号化を行い、休眠状態ではあるがアップロードを実行する機能が備わっていることを、研究者が発見したからである。Chrome と Microsoft Edge を合わせると、このエクステンションは約 160 万件もインストールされたと報じられている。ModHeader は、HTTP リクエスト・ヘッダーおよびレスポンス・ヘッダーを変更するための、正規の開発者向けユーティリティである。

その機能は、広範な権限を必要とする。それらの権限は、ユーザーが訪問するすべての Web サイトにわたって、トラフィックおよびページと対話する能力を付与するものとなる。

ModHeader バージョン 7.0.18 を調査した研究者が特定したのは、このエクステンションのバックグラウンド・サービスワーカー内に、閲覧履歴収集パイプラインのコードが存在することだ。

このロジックは、訪問した URL からドメインを抽出し、ハードコードされた AES-GCM キーで暗号化し、そのレコードを IndexedDB に保存するよう設計されていた。

ユーザー・データを外部へ持ち出すエクステンション

このパイプラインは、2 つのローカル・データストアを使用していた。1 つは、永続的なインストール・フィンガープリント／暗号化の初期化ベクター／アップロードタイミング・データを保存する settings ストアである。もう 1 つは、暗号化されたドメイン・レコードと訪問カウンタを保存する temp ストアである。

これらのストアは、アップロードを実行する際に、最大で 1,000 件の異なるドメインを保持するよう設定されていた。なお、このコードには、”https://api.stanfordstudies.com/app/log” を指すアウトバウンド POST ルーチンも含まれていた。

StripeOlt の分析によると、これらのペイロードには、暗号化された閲覧データ／デバイス・フィンガープリント情報／ブラウザの詳細などが含まれていた。

アップローダーが失敗した場合にはリクエストが再試行され、送信に成功した後には、ローカルに保存されたドメインデータが消去される仕組みになっていた。これにより、フォレンジックで利用できる証拠が減少する。

ただし研究者は、重要な違いが存在することを強調している。分析されたビルドの履歴収集機能は、空の許可リストによりゲートされていた。そのリストにはブラウザ識別子が含まれていないため、当該バージョンでは収集およびアップロードの経路は実行されなかった。

懸念されるのは、すでに完全なフレームワークとして、収集／暗号化／保存／スケジューリング／送信などの機能が用意されており、新たな権限要求なしに、通常のエクステンション更新を通じて有効化される点である。

このエクステンションには、”extensions-hub.com” に結び付いたアクティブなテレメトリ機能も含まれており、インストール／更新／アンインストール・イベントを報告していた。この追跡は、休眠状態の閲覧履歴アップロード機能とは別のものであるが、すでにサードパーティ・インフラと通信していたことを示している。

Google と Microsoft は、それぞれのエクステンション・ストアから ModHeader を削除したと報じられている。このエクステンションは、Microsoft により 7月3日に削除され、その後に Google によりマルウェアとしてフラグ付けされた。

ユーザー組織は、管理対象のブラウザ環境から、このエクステンションを削除すべきである。さらに、エクステンション ID idgpnmonknjnojddfkpgkljpfnnfcklj を調査し、”stanfordstudies.com” と “extensions-hub.com” をブロック／監視する必要がある。

API テストのために ModHeader に依存していたユーザーは、これまでカスタム・ヘッダーに配置していた、API キー／認可トークン／セッション・クッキーなどの機密性の高いデータを確認し、ローテーションすべきである。

研究者である aydinnyunus が指摘するのは、このインシデントにより、長年にわたるブラウザ・サプライチェーンの問題が再確認される点だ。Chrome Web Store の署名はエクステンションの出所を確認するが、後続の更新で導入される機能が安全であることを保証するものではない。

高権限のエクステンションは、サードパーティ・ソフトウェアとして管理すべきであり、許可リスト／インベントリ監視／定期的な振る舞いレビューの対象とする必要がある。

IoC

Type	Indicator	Context
Extension ID	idgpnmonknjnojddfkpgkljpfnnfcklj	ModHeader
Version	7.0.18	Affected release
Exfiltration URL	https://api.stanfordstudies.com/app/log	Suspected data upload
Telemetry Domain	extensions-hub.com	Install/update tracking
Data Collection Domain	stanfordstudies.com	Suspected infrastructure
Shared IP	3.147.61.167	Associated AWS IP
IndexedDB Stores	settings, temp	Local data storage
Service Worker	assets/src/background-94ad634d.js	Collection logic
Static Marker	mod盐header	Hardcoded string
Author String	modhader@	Manifest artifact
AES-GCM Key	aWfU3yG_wksZaQdSnxPJBOId0cAN8KK/UIlZbli7-bE	Embedded encryption key

注記：IP アドレスおよびドメインは、意図しない名前解決またはハイパーリンク化を防止するため、意図的に無害化されている。例えば、[.] が使用されている。再有効化は、MISP／VirusTotal／SIEM などの管理された脅威インテリジェンス・プラットフォーム内でのみ実施すべきである。

ModHeader という人気のエクステンションで、利用者の閲覧したドメイン情報を密かに収集し、暗号化して保管する仕組みが発見されました。この製品は開発者の検証作業に便利ですが、機能の特性上、ブラウザ内のあらゆる通信を読み取る強い権限を持っているという背景があります。悪意の更新により、いつの間にか個人情報が外部へ送信される状態に陥るリスクがあり、すでに公式ストアからは削除されています。対応策として、対象のアプリを速やかにコンピュータからアンインストールする必要があります。また、検証時にヘッダーへ設定していた認証キーなどの機密情報も、念のため新しいものへ変更することが推奨されます。よろしければ、Extension での検索結果も、ご参照ください。