Chrome und Edge: Mehrere Browser-Add-ons per Update mit Malware verseucht

Ein schwerwiegender Vorfall in Browser-Ökosystemen

Ein aktueller Sicherheitsvorfall erschüttert das Vertrauen in die offiziellen App-Stores von Google und Microsoft. Sicherheitsforscher der Plattform Socket haben eine großflächige Malware-Kampagne aufgedeckt, die gezielt Nutzer von Browser-Erweiterungen ins Visier nimmt. Insgesamt 19 verschiedene Add-ons, die sowohl für den Google Chrome Web Store als auch für den Microsoft Edge Add-on-Store verfügbar waren, wurden mit gefährlichem Schadcode infiziert. Die Angreifer wählten dabei eine besonders perfide Methode: Die Erweiterungen waren ursprünglich vollkommen legitim und funktionierten wie versprochen. Erst zu einem späteren Zeitpunkt wurde der Schadcode durch gezielte Software-Updates in die Anwendungen eingeschleust. Diese Vorgehensweise ermöglichte es den Betreibern der Malware, zunächst eine Nutzerbasis aufzubauen, ohne sofort durch Sicherheitsmechanismen der Stores blockiert zu werden. Die Auswirkungen sind gravierend, da zehntausende Nutzer weltweit von dem Datenabfluss betroffen sind. Die Angreifer zielten dabei primär auf den Diebstahl sensibler Zugangsdaten sowie auf die direkte Plünderung von Kryptowallets ab, was für die betroffenen Anwender erhebliche finanzielle und persönliche Risiken birgt.

Die technischen Details der Infektionswelle

Die von den Forschern bei Socket untersuchten 19 Erweiterungen decken ein breites Spektrum an Anwendungsbereichen ab. Zu den infizierten Tools gehören unter anderem spezialisierte Programme für Krypto-Preisalarme, Werkzeuge zur detaillierten Blockchain-Analyse, SEO-Traffic-Analysen sowie diverse News-Reader, die eigentlich der Information der Nutzer dienen sollten. Die Analyse der Forscher ergab, dass die Angreifer bei der Erstellung dieser Werkzeuge zweigleisig fuhren: 14 der 19 identifizierten Add-ons wurden von den Akteuren selbst von Grund auf neu programmiert und anschließend in den Stores veröffentlicht. Die restlichen fünf Erweiterungen hatten eine andere Entstehungsgeschichte. Hierbei handelte es sich um bereits existierende Tools, die von den ursprünglichen Entwicklern abgekauft wurden. Nach der Übernahme der Kontrolle über diese Erweiterungen nutzten die Angreifer die bestehende Nutzerbasis, um den Schadcode per Update einzuspielen. Die Schadsoftware ist dabei so konzipiert, dass sie ein erweiterbares Framework nutzt, das im Hintergrund die Aktivitäten der Nutzer überwacht, sensible Daten abgreift und diese an die Server der Angreifer übermittelt, während die eigentliche Funktion der Erweiterung oft nur noch als Fassade dient.

Der Verlauf der Kampagne und die Strategie der Angreifer

Der Erfolg dieser Kampagne basiert maßgeblich auf dem Vertrauensvorschuss, den Nutzer den offiziellen Stores von Google und Microsoft entgegenbringen. Da die Erweiterungen zum Zeitpunkt ihrer ersten Veröffentlichung oder zum Zeitpunkt des Kaufs durch die Angreifer keine bösartigen Funktionen aufwiesen, konnten sie die automatisierten Prüfprozesse der Plattformen zunächst problemlos durchlaufen. Die Strategie, erst nach einer gewissen Zeit und nach der Installation durch eine signifikante Anzahl von Nutzern ein Update mit Schadcode auszurollen, ist ein bekanntes, aber besonders schwer zu bekämpfendes Muster. Die Forscher von Socket betonen, dass die Erweiterungen ihre versprochenen Funktionen tatsächlich erfüllten, was die Entdeckung der Malware für den durchschnittlichen Anwender nahezu unmöglich machte. Es gibt keinen Hinweis darauf, dass die Angreifer bei der initialen Einreichung der Software gegen Richtlinien verstießen. Erst durch die nachträgliche Modifikation des Codes wurde der Sicherheitsvorfall ausgelöst, der nun zehntausende Nutzer weltweit betrifft und die Frage nach der Wirksamkeit der Sicherheitsüberprüfungen bei Software-Updates in den Stores aufwirft.

Die betroffenen Akteure und die Rolle der Sicherheitsforschung

Im Zentrum dieser Untersuchung stehen die Sicherheitsforscher der Plattform Socket, die den Vorfall aufgedeckt und detailliert dokumentiert haben. Durch ihre Analyse konnte das Ausmaß der Kampagne quantifiziert werden. Auf der anderen Seite stehen die Betreiber der betroffenen Plattformen, Google und Microsoft, deren Stores als Verbreitungskanäle fungierten. Die Identität der Angreifer bleibt in dem Bericht der Forscher weitgehend im Dunkeln, wenngleich die Systematik der Vorgehensweise auf eine organisierte Gruppe hindeutet, die über erhebliche Ressourcen verfügt, um sowohl eigene Software zu entwickeln als auch bestehende Projekte aufzukaufen. Die betroffenen Nutzer, die den Erweiterungen vertrauten, sind nun die Leidtragenden. Sie müssen sich mit den Konsequenzen auseinandersetzen, die von der Kompromittierung ihrer Online-Konten bis hin zum Verlust von Kryptowährungen reichen. Institutionell gesehen stehen die Betreiber der Browser-Stores unter Druck, ihre Prozesse für die Überprüfung von Updates zu verschärfen, da die bloße Kontrolle bei der Ersteinreichung offensichtlich nicht ausreicht, um Nutzer vor nachträglich eingeschleustem Schadcode zu schützen.

Einordnung der Sicherheitslage bei Browser-Erweiterungen

Einzuordnen ist das so: Browser-Erweiterungen stellen seit Jahren ein unterschätztes Einfallstor für Cyberkriminalität dar. Da sie tief in den Browser integriert sind und oft weitreichende Berechtigungen für den Zugriff auf Webseiteninhalte oder gespeicherte Daten benötigen, ist ihr Missbrauchspotenzial enorm. Den Berichten zufolge zeigt dieser Vorfall, dass die Sicherheitsarchitektur der Browser-Stores eine Schwachstelle bei der Überwachung von Software-Updates aufweist. Während die Prüfung bei der ersten Veröffentlichung einer Erweiterung oft streng ist, scheint die Kontrolle bei nachfolgenden Updates, die den Funktionsumfang ändern oder erweitern, weniger restriktiv zu sein. Diesen Umstand machen sich Angreifer zunutze, indem sie harmlose Tools in trojanische Pferde verwandeln. Die Tatsache, dass auch etablierte, von anderen Entwicklern abgekaufte Erweiterungen infiziert wurden, verdeutlicht zudem, dass Nutzer selbst bei Tools, die sie schon lange verwenden, nicht vor plötzlichen Änderungen gefeit sind. Es ist ein systemisches Problem, bei dem die Geschwindigkeit der Software-Entwicklung und die Notwendigkeit häufiger Updates mit den Sicherheitsbedürfnissen der Nutzer kollidieren.

Offene Fragen und ungeklärte Details

Der vorliegende Bericht lässt eine Reihe von Fragen unbeantwortet, die für die betroffenen Nutzer von zentraler Bedeutung sind. So nennt der Quelltext keine konkreten Namen der infizierten Erweiterungen, was es für Anwender schwierig macht, sofort zu prüfen, ob sie selbst betroffen sind. Auch bleibt offen, wie lange die Malware bereits aktiv war, bevor sie von den Forschern entdeckt wurde. Es ist unklar, ob die Betreiber der Stores bereits proaktiv Maßnahmen ergriffen haben, um die betroffenen Erweiterungen zu entfernen oder die betroffenen Nutzer zu warnen. Ebenso wird nicht spezifiziert, wie viele der 19 Erweiterungen noch aktiv in den Stores gelistet sind und ob es bereits eine offizielle Stellungnahme seitens Google oder Microsoft zu diesem Vorfall gibt. Die genaue technische Funktionsweise des eingeschleusten Malware-Frameworks wird ebenfalls nur in Grundzügen skizziert, sodass unklar bleibt, welche spezifischen Daten neben Zugangsdaten und Kryptowallets noch abgegriffen werden konnten. Auch die Frage nach der Herkunft der Angreifer oder einer möglichen Verbindung zu anderen bekannten Malware-Kampagnen wird im Quelltext nicht adressiert, was den Vorfall zu einem weiterhin unvollständig aufgeklärten Sicherheitsrisiko macht.