ModHeader マルウェアの削除方法と残留データのクリーンアップ

何が報告されたのか（60 秒版）

• 2026年7月上旬、Google は ModHeader をマルウェアと判定して無効化し、Microsoft は Edge アドオンストアから削除しました（7月3日ごろ。Chrome の掲載も 7月10日ごろには停止）。
• 研究者の報告によると、ModHeader ビルド 7.0.18 には、日付ライブラリを装ったファイル（dayjs.min-*.js）の中に隠された SDK が同梱されており、訪問先ドメインを収集して AES-GCM で暗号化し、1 日 1 回、第三者のコレクター api.stanfordstudies.com/app/log（「Stanford Studies」を名乗るがスタンフォード大学とは無関係のサイト）へ POST する作りでした。
• 報告された規模：Chrome 約 90 万 + Edge 約 70 万（合計約 160 万インストール）。Chrome 単体で約 80 万とする記事もあります。
• 重要な補足：研究者によれば、コレクターは空の許可リストの背後で休眠状態のまま出荷されており、検証環境では何も送信されませんでした。ただしエンドポイント・鍵・スケジューラはすべて揃っており、後のアップデートで有効化可能でした。つまり「大規模漏えいの確定」ではなく、深刻な露出リスクとして扱うのが適切です。

まだ ModHeader をインストールしている場合、広く推奨されている対応は削除です。以下、きれいに削除する手順です。

手順 1 — 影響の有無を確認する

chrome://extensions（Edge を使っている場合は edge://extensions も）を開き、バージョン番号が表示されるようにデベロッパーモードをオンにします。

• 名前：ModHeader — Modify HTTP headers
• 拡張機能 ID：idgpnmonknjnojddfkpgkljpfnnfcklj
• 問題のバージョン：7.0.18（このビルドを使っていた場合は影響ありとして扱ってください）

Chrome のセーフティチェックに 「この拡張機能にはマルウェアが含まれています」 と表示されている場合は、まさにこのページの対象です。警告を閉じるだけで済ませず、以下のクリーンアップを最後まで実施してください。実際の警告表示はこちら：

手順 2 — 拡張機能を削除する（Chrome と Edge）

1. chrome://extensions を開く → ModHeader を探す → 削除をクリック → 確認。edge://extensions でも同様に。
2. ブラウザが既に無効化している場合も、無効のまま削除をクリックしてください — 無効化は実行を止めるだけで、キャッシュされたデータは消えません。
3. インストールしていたすべてのブラウザプロファイルで実施してください（Chrome のプロファイルはそれぞれ独立しています）。

手順 3 — 残留ローカルデータを削除する

アンインストールでほとんどは消えますが、拡張機能のキャッシュデータ — 研究者の報告では、トークンや Cookie を含み得るリクエスト／レスポンスヘッダーの保存が 100 MB を大きく超える例も — が残ることがあります。念のため、以下のフォルダのうち残っているものを削除してください。Default は実際のプロファイルフォルダに読み替えてください（Profile 1、Profile 2… も確認）。

macOS

~/Library/Application Support/Google/Chrome/ 配下（Edge は Microsoft Edge 配下の相当パス）：

• Default/Extensions/idgpnmonknjnojddfkpgkljpfnnfcklj
• Default/Local Extension Settings/idgpnmonknjnojddfkpgkljpfnnfcklj
• Default/Sync Extension Settings/idgpnmonknjnojddfkpgkljpfnnfcklj
• Default/IndexedDB/chrome-extension_idgpnmonknjnojddfkpgkljpfnnfcklj_0.indexeddb.leveldb

Windows

%LOCALAPPDATA%\Google\Chrome\User Data\ 配下（Edge：%LOCALAPPDATA%\Microsoft\Edge\User Data\）：

• Default\Extensions\idgpnmonknjnojddfkpgkljpfnnfcklj
• Default\Local Extension Settings\idgpnmonknjnojddfkpgkljpfnnfcklj
• Default\Sync Extension Settings\idgpnmonknjnojddfkpgkljpfnnfcklj
• Default\Managed Extension Settings\idgpnmonknjnojddfkpgkljpfnnfcklj
• Default\IndexedDB\chrome-extension_idgpnmonknjnojddfkpgkljpfnnfcklj_0.indexeddb.leveldb

フォルダを削除する前に、ブラウザを完全に終了してください。起動中はファイルがロックされている場合があります。

💡 ヒント：残留フォルダの掃除はコーディングエージェントに任せる。Claude Code や Codex のようなコーディングエージェントを使っているなら、このガイドの URL（または上のフォルダ一覧）を貼り付けて、すべてのブラウザプロファイルを横断して ModHeader の残留フォルダを探し、削除するよう頼めます。プロファイルが複数あって消し漏れが心配な場合に特に有効です。安全のための注意点は 2 つ：先にブラウザを完全終了すること、そして削除前に見つかったフォルダを一覧表示させ、あなたの確認を待ってから実行させることです。

手順 4 — 送信先ドメインをブロックする

キャッシュに残った複製からも一切通信できないよう、コレクターをブロックしてログを取ります：

• 個人：hosts ファイル（macOS/Linux は /etc/hosts、Windows は C:\Windows\System32\drivers\etc\hosts）に 0.0.0.0 api.stanfordstudies.com を追記するか、DNS リゾルバ／Pi-hole でブロック。
• チーム：api.stanfordstudies.com（および親ドメイン stanfordstudies.com）を DNS ブロックリスト／egress ファイアウォールに追加し、プロキシ・DNS ログから当該ホストへの過去の POST /app/log を検索。

手順 5 — 渡していた機密情報をローテーションする

この拡張機能はブラウザを流れるヘッダーを読み取り・保存できたため、日常的に貼り付けていたものは露出した可能性があるものとして再発行してください：

• ヘッダー設定で使っていた Authorization／Bearer トークンや API キー。
• テスト用にヘッダーで設定していたセッション Cookie。
• ヘッダーセットに含まれていた社内ホスト名やステージング環境の認証情報。

休眠状態と報告されている以上、これは予防的措置です — ただ、トークンの再発行は「大丈夫なはず」に賭けるより、はるかに安い保険です。

IoC（Indicators of Compromise — セキュリティ／IT チーム向け）

管理下の端末を以下の指標で検索してください。裏付けが強いのは拡張機能 ID・バージョン・送信先エンドポイント・偽装ファイル名です。（報告値）と付記した項目は元のリバースエンジニアリング記事に由来し、参考情報として掲載しています。

報告された挙動：収集はドメインのみ（完全な URL・Cookie 値・パスワードは対象外）、AES-GCM 暗号化、端末ごとにランダム化されたスケジュールで 1 日 1 回のバッチ送信、リモートコード実行・外部スクリプト読み込みなし。

代わりのヘッダー編集拡張が必要な場合

テストのためにヘッダー編集はこれからも必要 — 実務的な問いは「次に何を信頼するか」です。重要なチェックリスト：小さく絞られた機能、Manifest V3 ネイティブ、広告なし・アナリティクスなし、内容を把握できる権限、そして設定が他人のサーバーを経由しない共有モデル。

VibeHeader はその仕様で作られています：広告なし、トラッキングなし、設定を URL フラグメント（#c=）にエンコードするリンク共有 — 処理はブラウザ内で完結し、サーバーには何も送信されません。オープンソース化も進行中なので、言葉を信じる必要すらなくなります。詳しい経緯や他の選択肢は開発者の視点（英語）と ModHeader 代替の比較（英語）をどうぞ。

押し売りはしません — このページの目的は、何に乗り換えるにせよ、安全にクリーンアップしてもらうことです。