「マルウェア化する事例はありふれている」Twitter（X）のマークを青い鳥に戻す話からブラウザ拡張の危険性についての話になる流れ

休憩時間の小話になるような話を呟いたりします。都内IT企業でおにぎりを食べる仕事してます。※三度の飯より四度の飯が好き。

Twitterマークを元に戻して復活する方法【やり方】 1. GitHubで「GoodbyeX」検索 2. 拡張機能ファイルをDL 3. ZIPファイルを解答 4. 拡張機能をフォルダー読み込む 5. 拡張機能をON 6. Twitterを更新イーロンのXロゴが気に入らない人はTwitterのままブラウザ利用出来ます。 pic.twitter.com/zOqJG1Nbgc

2023-07-25 06:00:01

Yuta Okamoto @okapies

三大珍獣とは無関係です。 Mstdn: fedibird.com/@okapies | Threads: threads.net/okapies

okapies.hateblo.jp

Yuta Okamoto @okapies

マジレスすると、こういうブラウザ拡張の権利を後から犯罪者が買ってマルウェア化する事例は極めてありふれているので、絶対に入れちゃいかんですよ。何とかしたいなら、こういう小手先ではなくイーロン・マスクを翻意させるか、代替プラットフォームを選択する権利を行使すべき。 twitter.com/bukuta_3/statu…

2023-07-25 19:41:16

Yuta Okamoto @okapies

「ブラウザ拡張は一切使うな…ってコト！？」というコメントを複数頂いていますが、一般論としてはそうです。これはストア経由か、自分で zip を落としてきてサイドローディングするかは問いません。教えて頂いたやつですが、審査済み拡張ですらこういう事例があるので。 forest.watch.impress.co.jp/docs/news/1482…

2023-07-26 10:23:54

Yuta Okamoto @okapies

「一般論」というのは、自分でメリットとリスクを天秤にかけて判断ができるなら良いでしょう、ということです。それには当然、入手元の身元が信頼できるか確かめる他に、自分でソースコードを確認できるようソフトウェア開発の知識が必要になります。つまり、本来は非常に敷居が高い。

2023-07-26 10:29:20

Yuta Okamoto @okapies

もちろんこれはブラウザ拡張に限った話ではないのですが、昔の Windows フリーウェアと違って、今は「どのアプリがどれくらいダウンロードされているか」が可視化されているので、乗っ取り先を探している犯罪者が標的を絞りやすいので危険が増している、みたいなのはあるんじゃないかと思っています。

2023-07-26 10:43:41

きたがわ @bukuta_3

@okapies ありがとうございます。ちなみに岡本さんがマルウェア化した事例や手順などを知っていれば教えて頂けますでしょうか。今後の参考にさせて頂きます。

2023-07-25 19:46:46

Yuta Okamoto @okapies

@bukuta_3 具体的な名前は忘れましたが、昔からあるマウスジェスチャー系は、時間が経つとすぐにマルウェア入りになってましたね。それも一度や二度ではない。今は出所が明確なもの以外は拡張は一切使いません。ちょっとした使い勝手と引き換えにするにはリスクが高すぎるので。

2023-07-25 20:34:34

Piro🎉"ｼｽ管系女子"ｼﾘｰｽﾞ累計5万部突破!!🎉 @piro_or

Piro/結城洋志　Tree Style Tab等のFirefoxアドオンを作ったり「ITエンジニア1年生のためのまんがでわかるLinux」という漫画を日経ソフトウエア誌で連載したり。「数学ガール」の結城浩先生とは別人です。https://t.co/k9rUtG6zV7 @piro_or_mokei

https://t.co/yxk8aIZCUy

Piro🎉"ｼｽ管系女子"ｼﾘｰｽﾞ累計5万部突破!!🎉 @piro_or

「絶対に入れちゃいかん」とは穏やかでないなと思ったけれど、実際度々事例を観測してるので、警戒は致し方ないや、と思う20年選手の拡張機能開発者の自分。同様の「知らん間に危険な物になる」問題は、npmやpipやrubygemsでも起こり得るんよな。こちらはレビューが無い分より深刻かもしれない。 twitter.com/okapies/status…

2023-07-26 10:23:45

Piro🎉"ｼｽ管系女子"ｼﾘｰｽﾞ累計5万部突破!!🎉 @piro_or

ここで言及されてる事例は「ソースをダウンロードしてきて開発者モードでロードする」物なので、自動更新を通じて入れ替わるリスクは無いけど、開発者モードを知らないレベルの人に使わせるものではない、とは思う。リプライツリーの中で書かれてるように、最初からマルウェアという危険もあるし。

2023-07-26 10:27:03

Piro🎉"ｼｽ管系女子"ｼﾘｰｽﾞ累計5万部突破!!🎉 @piro_or

今回のように大勢がパニックになってる場面では、「みんなー！これを入れるんだー！」と呼びかけて火事場泥棒的に儲ける悪人の存在を想定しないといけない、という警戒心を持つ事が現実を生きる上では必要だけれど、善意ベースで回っていた時代からやってる人間としては世知辛く感じて切ない。

2023-07-26 10:33:46

Piro🎉"ｼｽ管系女子"ｼﾘｰｽﾞ累計5万部突破!!🎉 @piro_or

なお弊社では、「この拡張機能のこのバージョンは導入しても安全かどうか」を調べたり、ご要望に応じて相当する拡張機能を開発してご提供したり、ということを法人向けの有償サポートの範囲で行っております clear-code.com （ここで宣伝かよ）

2023-07-26 10:37:01

Piro🎉"ｼｽ管系女子"ｼﾘｰｽﾞ累計5万部突破!!🎉 @piro_or

そういや先日も、「拡張機能を使って効率改善を図った方がよさそうだなあ」と感じて拡張機能を紹介したのだけど、会社としては安全のためにそうホイホイとは入れられないようだった。ちゃんとしてていいことなんだけど、悩ましいっすね。 twitter.com/piro_or/status…

2023-07-26 10:42:49

Piro🎉"ｼｽ管系女子"ｼﾘｰｽﾞ累計5万部突破!!🎉 @piro_or

記事の中でTSTに言及があって変な声出た。それで思い出したけど、OSS開発参加のお手伝いをする（ tech.speee.jp/entry/learning… 参照）中で、詳細を知らないプロダクトのコード内を、メソッドの定義や呼び出し箇所を追ってあちこち行き来する過程で、結構皆さんChromeのタブを見失っていて、

2023-07-21 15:56:56

Piro🎉"ｼｽ管系女子"ｼﾘｰｽﾞ累計5万部突破!!🎉 @piro_or

拙作拡張機能にも何度か「売ってくれ」とオファーが来ましたが、「オープンソースなので、ライセンスの範囲内でフォークして名前変えて商売する分にはご自由にどうぞ」と空気を読まず返しました（彼らが欲しいのは現在のユーザー数と信用であり、ソフトウェアの方ではない、と分かっててそう言った）

2023-07-26 10:46:39

Piro🎉"ｼｽ管系女子"ｼﾘｰｽﾞ累計5万部突破!!🎉 @piro_or

個人開発のOSSの買収事例を以前見かけた（開発者として雇用された、という事例だったのでそれは悪い事ではない）けど、今思うと、そういうのを「人気を得てバイアウトするのが個人開発の成功モデル！」みたいに受け取る人もいるんだろうか？

2023-07-26 10:53:17

Yuta Okamoto @okapies

まさにこういう話。 twitter.com/piro_or/status…

2023-07-26 10:58:06

川名さん @ryo_kawana

@okapies @bukuta_3 「chrome プラグインマルウェア」で検索すると過去の事例や手段の記事がたくさん出てくるのでご参考下さい。 Okamotoさんが仰る通りマルウェア化するケースが多く、プラグイン開発者がクラックされてマルウェア化する例もあります。自動更新を止めたらそれはそれでリスクもあり…

2023-07-26 08:34:13

ユーロ🇪🇺売り&💙💛支援！ @euroseller

@okapies まあ趣味でこういうContents Scriptでアイコンを変える拡張コードを入れても良いけど，あくまでもパッケージされていないコードのソースを理解した上での話。パッケージ化されていたら中でスパイウェアまがいのことが行われてもChromeのデベロッパーツールを使えない人はコードの検証はできない。

2023-07-26 10:58:01