こんにちは。 パソコンでYouTubeを見ていて、ここ数日変にページがリダイレクトされたり挙動が重くなったりしていることに気づきました。調べていくと、あるChrome拡張機能がマルウェア化していたことが原因だったため、経緯と対応方法を紹介します。

<h2 id="h57509900c9">YouTubeの挙動がおかしく</h2>具体的なタイミングは覚えていませんが、数日から1週間くらい前からパソコンのChromeでYouTubeを見ていると変な挙動をするようになりました。例えば次のようなことです。<ul><li>動画再生画面でコメントを見ようとスクロールしても勝手にページトップにスクロールされる</li><li>ホーム画面を見ていると急に特定のチャンネルのコミュニティ投稿のページに勝手にリダイレクトされる<ul><li>チャンネル自体はチャンネル登録はしていないもののよく見るチャンネルで怪しさはありませんでした</li></ul></li><li>ページタイトルが「動画名 - YouTube」と「動画名- YouTube」の間で勝手に切り替わりちらつく</li><li>全体的に動作が重くなる</li><li>動画を流し続けているとメモリ不足でタブが強制終了する</li></ul>YouTubeでしか不具合が起こっていなかったため、YouTube側のバグか、もしくは私が使っているYouTubeの使い勝手を向上する系の拡張機能の不具合かと考えていました。しかし、しばらく経っても解消されないこと、そしてあまりにも動画視聴に影響が出てきたため、不具合の原因を特定しようとしました。また、以前ブラウザハイジャッカーによって不審なリダイレクトが起きる事象を経験していたので、Chrome拡張機能がマルウェア化していることも想定した調査を行いました。

こんにちは。先日Google Chromeを利用していて不可解な現象に遭遇しました。どうやらブラウザハイジャッカーと呼ばれるマルウェアプログラムによるものだったようで、Googleで何を検索しても勝手にBing検索にリダイレクトされてしまうようになりました。どういった事象だったか、どうやって解消したかなど紹介します。

【注意】ChromeのGoogle検索が勝手にBingにリダイレクトされる【ブラウザハイジャッカー】 - パン工房ブログ

<h2 id="h413757dafb">不審な挙動の調査</h2>YouTubeが重くなっている原因は、どうやらページタイトルの頻繁な書き換えでした。上でも書きましたが、タブやウィンドウの表示がちらつく＝「動画名 - YouTube」というページタイトルが頻繁に書き換えられているようでした。恐らくどこかでページタイトルを書き換えるような処理が組み込まれているのだろうと考え、この事象をベースに調査を始めました。<h3 id="h84c279b2b3">Chromeデベロッパーツールで要素にブレークポイント</h3>調査にはChromeのデベロッパーツール（Chrome Devtools）を使いました。私は仕事でWeb開発を行っている人間なのでしょっちゅう使っていますが、ちょっとパソコンが得意な人であれば使ったことがあると思います。 Chromeデベロッパーツールでは、JavaScriptのソースコードに対してブレークポイントを張ることができますが、実はHTML要素に対してブレークポイントを設置することもできます。デベロッパーツールの「要素」タブの特定の要素を右クリックし、「ブレークポイントの位置」を選択します。ここで、要素の中身や属性が変更されたり要素が削除されたりした場合に反応するブレークポイントを設置することができ、その原因となったJavaScriptのコードを特定することができます。 今回はページタイトルが変更されているということで、title要素に対して「サブツリーの変更」のブレークポイントを張りました。すると、<code>document.title</code>を<code>setInterval</code>で0.5秒ごとに書き換えている（実際には同じ内容で再代入しているだけ）処理が見つかりました。ブレークポイントで停止した処理はデベロッパーツールの「ソース」タブで見ることができますが、「VM～」と書かれていたので拡張機能の特定のコードというよりは<code>eval</code>で動的に埋め込まれたコードなのかもしれません（このあたり詳しくありません）。<h3 id="h631c49970a">マルウェアによるものと断定</h3>拡張機能に直接含まれているJavaScriptファイルからの実行であれば、「ソース」タブのJSファイルのパスから拡張機能を特定することができます。しかし今回は、「VM～」という形で特定できなかったため、もう少しソースコードを読み込んでみることにしました。 具体的なソースコードは控えますが、先述のページタイトルを書き換える処理のほかに様々な処理が行われていました。難読化されていてはっきりとは読めませんでしたが、何やらYouTubeの視聴履歴ページに対して処理をしているもの、<code>AffiLinkList</code>のような名前の変数に怪しげなドメイン（仮想通貨・暗号資産関連のものなど）の配列を代入しているもの、YouTubeの高評価・低評価ボタンあたりの要素を操作しているものなどがありました。<code>impl</code>のようなURLを作っている部分もあったので恐らく何かしらYouTubeの閲覧に関する情報を抜き取っているのだと思います。 YouTubeの画面を操作しているだけであればYouTubeを便利にする拡張機能の不具合という可能性もありましたが、ページタイトルを書き換える処理が拡張機能そのもののソースコードでは無かったこと、それ以外に多数の怪しげな処理が見つかったことから、ブラウザハイジャッカーと呼ばれるマルウェアによるものだと断定しました。<h3 id="h123b460f85">マルウェア化した拡張機能の特定</h3>別でWindowsセキュリティのウイルススキャンを実行していたので、少なくともよくあるウイルスにパソコン自体が感染しているということは無さそうでした。Chrome内のみで動作するマルウェアプログラムだと思われます。 事象に気づいた直前のタイミングで新たに拡張機能のインストールはしていなかったため、怪しい拡張機能に心当たりはありませんでした。一方で、Chromeの拡張機能は更新がある場合自動で更新されるため、そのタイミングで拡張機能がマルウェア化してしまった可能性が高いです。そこで、シークレットウィンドウを使って拡張機能が原因であることを確定させます。 Chromeは、特別な設定をしなければシークレットモードでは拡張機能は動作しません。そこで、不審な動作をしているページと同じページをシークレットモードで開くことで、拡張機能が原因かどうかを確かめることができます。今回は問題となっているYouTubeの動画視聴ページをシークレットウィンドウで開き直しました。こちらではページタイトルの頻繁な書き換えは起こらなかったため、何かしらの拡張機能が原因であることが確定しました（厳密にはログイン状態などの差異があるため条件を揃えたほうがいいです）。 ここからは地道に拡張機能を特定していくことになります。結構な数の拡張機能をインストールしているので大変でした。まず全ての拡張機能を管理ページからオフにします（アンインストールしなくてもインストールしたままオフにできます）。1つずつ順番にオンにしていき、どの拡張機能をオンにしたタイミングで問題の事象が発生するかを確かめるのです。私はこれでマルウェア化した拡張機能を見つけることができました。<h2 id="hd039aa241c">Live color pickerが原因</h2>原因の拡張機能はLive color pickerというものでした。

Simple Color Picker app lets you detect (grab) the color from the browser tab

Live color picker

（インストールしないようご注意ください） この拡張機能は、ページ上からスポイトツールで色を抽出することができるツールです。画面上から色を抽出するソフトを入れてもよかったのですが、ブラウザ上で利用したい場面が多かったことやChrome拡張機能のほうが導入が簡単なのもあってこの拡張機能を選んでいました。ユーザーは少ないですがいくつか同様の拡張機能を試して使い勝手で選んだと思います。 これだったか・・・と思いながら拡張機能のレビューを見に行ったところ、やはり英語のコメントで「マルウェアだからインストールするな」というものがいくつか付いていました。

具体的な内容は私のChromeで起きた事象と全く異なりますが、マルウェア化してしまっていることは私以外にも気づいたユーザーがいたようです。この拡張機能の最終更新日は2023年3月17日で事象に気づいた4日前なので、このタイミングでマルウェア化してしまったということでしょう。ちなみにレビューにも書かれていますが、拡張機能が乗っ取られてマルウェア化してしまうことはよくあるようで、この拡張機能の元の開発者が悪意があってこうしたとは限りません。開発者と思われる人が新たにマルウェアの仕込まれていない元の拡張機能を別で公開しているようなコメントも付いていますが、もはや信用していいのか分かりません。 ちなみにこの拡張機能をアンインストールした際、Hero Wars（オンラインアクションRPG）の登録画面が表示されました。拡張機能はアンインストールされる際に何かしらのページ（大体はアンインストールの理由を聞くページや作者のページ）を表示することが可能ですが、アフィリエイト用と思われるパラメータが付いた登録画面に飛ばすというのはますます怪しいですね。もう色々と情報は抜き取られているかもしれませんが、早めに特定して削除できて良かったです。

というわけで今回は、Chromeのマルウェア化した拡張機能を特定してなんとか削除できた話でした。YouTubeの閲覧履歴などを抜き取られていそうな挙動でしたが、どこまで抜き取れているんでしょうか。元々の拡張機能の権限が強ければ見ようと思えばパスワードも見れそうですが、抜き取られた情報とこのブログ記事から本人のアカウント特定なんかもできたり・・・考え始めると色々できそうで怖いですね。Chrome拡張機能の自動更新を止められればいいのかもしれませんが、それはそれで不便になるかもしれず、難しいところです。 それではまた。

マルウェア化したChrome拡張機能を特定して削除【YouTubeがおかしい】

こんにちは。 最近Chromecastを買ったのでその紹介です。テレビでYouTubeが見れるようになりました。

実は元々テレビでYouTubeは見れていました。ネットに繋いだNintendo Switchを常にテレビに繋いだ状態だったため、SwitchのYouTubeアプリで見ることができたのです。SwitchのYouTubeアプリはスマホのYouTubeアプリからのキャストにも対応しているので、スマホで開いた動画をそのままテレビの大画面で楽しむことができていました。 引っ越して同棲を始めてから、Switchは相方の部屋に置くことにしたため、リビングのテレビではYouTubeを見ることができなくなりました。面白いテレビ番組も少なく食事のときスマホの小さい画面でYouTubeを流したりしていたため、YouTubeをテレビに流す方法を探していました。

そこで導入したのがChromecastです。ChromecastはGoogleが販売しているストリーミングデバイスで、スマホなどWi-Fiで接続した機器から映像や音楽をテレビに映すことができるものです。Wi-FiとHDMIさえあればYouTubeやNetflixなどの動画をテレビで見ることができるようになります。

Stream your favorite entertainment to your HDTV. 

Chromecast

<h2 id="hea982456bc">Chromecastのセットアップ</h2>Chromecastが届いて開封してからYouTubeを再生できるようになるまでの手順を書いておきます。 まず、Chromecastを取り出し、電源ケーブルを取り付けます。端子はmicroUSBでしたがケーブルは付属しているので特に問題ありません。次に電源を接続し、HDMIをテレビの端子に差し込みます。これでChromecast本体の準備は完了です。 Chromecastの利用を開始するにはWi-Fiに接続する必要がありますが、このセットアップはスマホのGoogle Homeアプリで行います。スマホのネットワークをChromecastを接続したいWi-Fiに接続した状態にし、Google Homeアプリを開きます。Chromecastのセットアップ画面が表示されない場合は「デバイスのセットアップ」メニューを押し、その後は表示された手順通りに進めるだけです。Wi-Fiは既にスマホが接続しているSSIDであれば選択するだけでパスワード入力は必要ありませんでした。また、初回起動時にはアプリケーションの更新があるようで、ネットワークに接続してから実際使えるようになるまで数分要しました。 あとはYouTubeアプリの右上のキャストボタンでGoogle Homeアプリで設定した名前のデバイスを選択してリンクするだけです。<h2 id="h69a001a310">iPhoneでも使える？</h2>ちなみに私はスマホがPixelなのでGoogleサービスとの相性は抜群ですが、iPhoneでもChromecastを使うことはできるのでしょうか？結論から言うと、できます。 同じようにGoogle Homeアプリをダウンロードしてセットアップするだけで使えます。もちろん使用にはGoogleアカウントが必要になるので、そのあたりの操作感が変わってくるのでしょうか。<h2 id="ha6ffce99c8">YouTube以外に使えるサービスは？</h2>今回はテレビでYouTubeを見たいと思ってChromecastを導入しましたが、YouTube以外にもキャストに対応したアプリは多数あります。ちなみに私はYouTube以外にYouTube MusicとTVerで使ってみました。TVerがテレビで見れるともはやただのテレビです。 使えるサービスの一例です。<ul><li>Netflix</li><li>Amazonプライムビデオ</li><li>Hulu</li><li>ABEMA</li><li>dTV</li><li>DAZN</li><li>GYAO!</li><li>Googleフォト</li><li>Spotify</li><li>Paravi</li></ul>このあたりでしょうか。対応サービスは公式ページで確認できます。

Chromecast を使えば、様々なデバイスから、お気に入りの映画や音楽を 簡単にTVにストリーミングできます。

Chromecast 対応アプリ - Google ストア

<h2 id="h1aef09ceb8">ミラーリングもできる</h2>これまで紹介したサービスが利用しているキャスト機能はミラーリングのように思えますが、実際にはストリーミング元をWi-Fi経由で共有しているだけで、実際のデータ取得はChromecast側が行っています。そのためスマホなど接続機器の画面をそのまま映しているわけではありません。一方そのまま映すミラーリングも可能です。例えば同じWi-Fiに接続したノートパソコンのChromeの画面をミラーリングすることもできます。この場合は画面の操作がそのまま表示されることになります。<h2 id="h9ae2a38155">音がおかしい、途切れるとき</h2>ちなみに使って1時間くらい経ったとき、突然音声が乱れ始めました。映像は綺麗に映っているにも関わらず、音声がネットが遅いときのようにブツブツ途切れていたのです。音楽の動画を再生してよく聞いてみると、音が半音下がった状態でした。 これはChromecastのHDMI端子を差し直せば解消しました。Chromecastは本体が小さいとはいえテレビの裏側にHDMI端子だけでぶら下がる状態なので、接触不良を起こしやすいのかもしれません。テレビ本体に固定してもいいかもしれません。

というわけで今回はYouTubeをテレビで見るために導入したChromecastの紹介でした。まだYouTubeやTVerでしか使えていませんが、色々なサービスを今後使っていきたいです。 それではまた。

Chromecastを買ってテレビでYouTube生活

こんにちは。 最近オタマトーンを買ったので、初めての演奏動画をYouTubeに公開しました。キングダムハーツシリーズの名曲「Traverse Town」です。

伴奏も含めて全てオタマトーンで演奏しています。オタマトーンは簡単に音を外してしまうので伴奏はちゃんとしたものを使うのがいいのでしょうが、権利的に使える音源が少なく自分で録音もしくは打ち込みするのもつらいので、全部オタマトーンです。 これからもジャンル問わず動画を公開していく予定ですのでぜひチャンネル登録をお願いします。 それではまた。

マルウェア化したChrome拡張機能を特定して削除【YouTubeがおかしい】

Chromecastを買ってテレビでYouTube生活

オタマトーン演奏動画をYouTubeにアップしました【Traverse Town】

BLOG

PROFILE

RECOMMEND