Claude Codeで マルウェアも解析しちゃおう

Claude Code活⽤事例LT会 Claude Codeで マルウェアも解析しちゃおう 開発者が知っておくべき、拡張機能という名のバックドア 株式会社バラエナテック 幸⽥ 将司 2026/04/14

Who am I? 幸⽥将司(こうだまさし) セキュリティのフリーランスしてます Join: ● 株式会社BalaenaTech 代表取締役 ● 株式会社Levii 最近やったこと 執筆: ● セキュリティエンジニアの知識地図(技術評論社) 執筆: ● SecuriST(R)認定Webアプリケーション脆弱性診断⼠試験委員 ● 脆弱性診断⼠のキャリアデザインガイド(2025年2⽉) ● SecuriST(R)認定ネットワーク脆弱性診断⼠試験委員 ● ASM導⼊検討を進めるためのガイダンス(2024年11⽉) ● CEH/CND認定インストラクター ● 脆弱性トリアージガイドライン作成の⼿引き(2024年5⽉) ● ISOG-J (⽇本セキュリティオペレーション事業者協議会) …etc

Claude Code活⽤事例 「マルウェア解析Chrome拡張機能の作成」 Chrome Extensions Google Chromeブラウザに機能を追加し、使い勝⼿を向上 させる⼩さな追加アプリ、Edgeでも利⽤可能 Claude Codeでやったこと 要求: ● 悪意のあるChrome Extensionsを使いたくない ゴール: ● 悪意のあるChrome Extensionsを検知できる ClaudeCodeでやったこと: 偽AIアシスタント等の悪意のあるExtentionがAPTで流⾏中 ● ブラウザ内で悪意ある挙動を検知する仕組みを実装

Chrome Extensionsの構成
manifest.json(設定‧権限):
{
"manifest_version": 3,
"permissions": ["cookies", "webRequest"],
"host_permissions": ["<all_urls>"],
"background": {
"service_worker": "background.js"
}
}

● permissions(権限)
○
●

cookieやwebRequestを操作できる

host_permissions
○

どのドメインで操作できるか定義

○

<all_urls>ならブラウザの全ての画⾯

● background
○

バックグラウンド処理の定義

○

minify(軽量化)や
obfuscator(難読化)されていることもある

😈わるいExtensionsができること 通信改ざん（Man-in-the-Browser） 情報窃取 リクエスト‧レスポンスの書き換え document.cookie を呼び出しを攻撃者サーバーへ送信み ログインや決済処理で流れるセッションも盗聴できる 👉ChatGPT等のログインセッションを奪取 👉 "webRequestBlocking" があると強⼒に実現可能 保存パスワード‧トークン‧閲覧履歴の取得 👉 特に "cookies" / "webRequest" / "tabs" 権限は要注意 DOM改ざん バックドア化‧持続化 XSSが可能、攻撃者の外部スクリプトを実⾏して ⾃動アップデートで悪性コード注⼊ 画⾯を書き換えてフィッシングや⾦融機関で不正な振り込み インストール後にコード変更（サプライチェーン攻撃） 👉 "host_permissions": ["<all_urls>"] は危険度⾼ ※hostが固定されていても攻撃可能 👉 最初は安全 → 後から悪化がよくあるパターン

ストア審査を欺く「時間差攻撃」 サプライチェーン攻撃 優良な拡張機能を買収し、信頼が蓄積された後にアップ デートで悪意あるコードを注⼊ 難読化と動的読み込み ⼀⾒無害なコードに隠し、特定のドメイン（銀⾏等）での み発動するロジックを隠蔽 ※Chrome Web Storeの審査は初回は厳しいが、 2回⽬の更新からはとても緩いため、成⽴する☝

Claude Codeを活⽤したマルウェア解析 解析⽤チェックリストの⾃動⽣成とフロー AIに⾷わせる 権限レベル設定 最新の攻撃⼿法(APT)の Claude Codeに 調整と実⾏ 教えた内容で期待値が出なけれ ドキュメントをNotebookLMでAI 「危険な権限のレベル設定」と「不 ば、プロンプト等を調整。 にインプット 審なコードパターンの定義」を指⽰ 公開されたブロックリストを調査し て⾃動更新(できると嬉しい) 「適切な指⽰」さえできれば1からマルウェア解析も可能☝

Claudeが作成したマルウェア調査をするExtensions GuardExt（がーどえくすと） インストールされているブラウザ拡張機能をスキャンし、 潜在的なセキュリティリスクを可視化 何をしてるの? ‧<all_urls> を要求している ‧"permissions" が過剰 ‧外部JSを読み込んでいる ‧コードが難読化されている ‧Chrome Web Storeに存在しない（サイドロード） ‧悪性マルウェアとして報告されているかチェック ネットニュースに 掲載されて嬉しい 🎉

Thank You! ご清聴ありがとうございました GuradExtはChrome Web Storeからインストールできます https://chromewebstore.google.com/detail/guardext/okofagphbpbgnennblfkgdlclfmkadie

• https://chromewebstore.google.com/detail/guardext/okofagphbpbgnennblfkgdlclfmkadie