LONDON (IT BOLTWISE) – Microsoft hat eine bösartige Erweiterungsoperation auf dem Edge-Add-ons-Store gestoppt: 119 Tools nutzten Steganografie, um Schadcode in normalen Bild- und Font-Dateien zu verstecken. Der Angriff schlug nicht in jedem Fall sofort an, blieb aber nach der Installation teils Tage bis Wochen im Verborgenen und stahl dann Zugangsdaten sowie Session-Cookies. Zusätzlich missbrauchte die Kampagne Browser-Navigation für Werbebetrug und Manipulation von Affiliate-Umgebungen. Für Nutzer bedeutet das vor allem: betroffene Erweiterungen entfernen, Passwörter aktualisieren und starke Zwei-Faktor-Absicherung aktivieren.
Microsoft hat im Edge Add-ons Store eine über Jahre laufende Malware-Kampagne offline genommen, die ihre Payload nicht als „offensichtliche“ Bedrohung auslieferte, sondern als scheinbar harmlose Inhalte. Insgesamt wurden 119 Erweiterungen entfernt, die nach Microsofts Auswertung einem einzigen Threat-Actor zugeordnet werden. Der Clou: Der Schadcode steckte in gewöhnlich wirkenden PNG-/WebP-Bilddateien sowie in Font-Dateien wie WOFF2 und wurde erst aktiv, nachdem die Extension eine Reihe von Evasions-Checks bestanden hatte. Microsoft beschreibt das Verfahren als „StegoAd“ – eine Kombination aus Steganografie und Adware – und hebt hervor, dass die Operation bis zu 2,6 Millionen Installationen erreicht haben könnte, die echte Opferzahl jedoch unklar bleibt.
Technisch betrachtet nutzt StegoAd ein Muster, das in klassischen Datei-Forensiken auffällt, im Browser-Kontext jedoch schwerer greifbar ist: ausführbarer Code wird in Dateibereiche geschoben, die für die normale Darstellung zuständig sind, während statische Scanner ihn lange Zeit nicht entdecken. Frühere Varianten hängten JavaScript an den PNG-Endmarker an, sodass das Icon optisch korrekt blieb, aber dennoch Payload transportierte. Als die Erkennung besser wurde, wechselte der Angreifer auf WebP und später auf Fontdateien. Dort versteckte er Code in Glyph-/Zeichenbereichen oder interpretierbar wirkenden Metadaten – ein Ansatz, der in der Browser-Extension-Landschaft zwar bekannt ist, aber in dieser Größenordnung als selten gilt.
Ein weiterer Aspekt zeigt, wie eng die Kampagne mit dem Betriebssystem- und Netzwerkverhalten moderner Browser verknüpft war. Microsoft beschreibt Varianten, bei denen die Payload nicht vollständig lokal ausgeliefert wurde, sondern über ein Command-and-Control-System nachgeladen wurde. Die Extension entschlüsselte dabei ein „normales“ Bild, führte dafür mehrere Transformationsschritte aus (u. a. Base64-Transformationen und XOR-Schlüsselung) und validierte anschließend anhand einer Signatur, ob der Code tatsächlich ausgeführt werden sollte. Damit ließ sich das Laden in kontrollierten Tests aushebeln: Wer das C2 direkt anfragte, erhielt nach Angaben von Microsoft eine harmlose Decoy-Antwort. Selbst Analyseumgebungen waren im Visier, etwa durch das Erkennen von geöffneten DevTools.
Die praktische Schadwirkung ging über Credential-Theft hinaus. Sichtbar war vor allem Ad Fraud: Die Erweiterungen injizierten Werbung, manipulierten Affiliate-Provisionen und kaperten Such- und Redirect-Workflows. Laut Microsoft wurden dabei u. a. Provisionen im Kontext von Amazon, eBay und AliExpress umgeleitet, während das Browser-Erlebnis gleichzeitig „schlechter“ wurde – typisch für Kampagnen, die Monetarisierung mit latenter Persistenz kombinieren. Gleichzeitig griff die Under-the-hood-Komponente tiefer: Microsoft fand einen Backdoor-Mechanismus, der entferntes Ausführen von JavaScript ermöglichte, Google-Zugangsdaten sowie zweite Faktoren bei Log-ins abgriff und WordPress-Admin-Logins harvestete. Dazu kamen Sammel-Abflüsse von Cookies zur Session-Übernahme.
Für den Markt- und Sicherheitskontext ist entscheidend, dass Microsoft das Timing und den Mechanismus der Verteilung als Teil der Effektivität beschreibt. Eine mehrtägige Verzögerung, serverseitige Validierung und teils ein 10%-„Execution Gate“ sorgten dafür, dass viele Installationen die Payload nie gestartet haben. Das erschwert nicht nur die Opferabschätzung, sondern auch die Incident-Response in Unternehmen: Logs zeigen möglicherweise nur „saubere“ Installationen, während der eigentliche Schaden erst unter bestimmten Zielbedingungen eintrat. Im Wettbewerb der Browser-Ökosysteme ist das relevant, weil ähnliche Angriffsflächen auch bei Chrome-Web-Store oder Firefox-Add-ons bestehen – Plattformen setzen zwar auf Review-Prozesse, doch die eigentliche Evasion findet oft erst im Runtime-Fenster statt.
Aus Analystenperspektive lässt sich daraus ein klares Lernsignal ableiten: Sicherheitsprüfungen müssen nicht nur nach bekannten Funktionsaufrufen suchen, sondern zunehmend nach „semantischen“ Behauptungen über Dateiinhalte. StegoAd zeigt, wie ein Angreifer legitime Dateiformate als Transportkanal missbraucht und dynamisch entscheidet, wann eine Extension überhaupt „bösartig“ wird. Microsoft nennt zusätzlich Telemetrie-Mechanismen: Mehrere Google-Analytics-Tracking-IDs dienten als verdecktes Monitoring, sodass der Operator Statusdaten nahe in Echtzeit über die Infrastruktur von Google erhielt. Ergänzend wird die Infrastruktur als robust beschrieben: mehr als zehn C2-Domains mit Failover, der Einsatz von Cloudflare Workers sowie Missbrauch von GitHub Pages für Beacons. Das ist ein Reminder, dass „Sandboxing“ allein selten genügt.
Bei der Reaktion zeigt Microsoft einen kombinierten Ansatz aus Entfernung und Deaktivierung. Die 119 betroffenen Erweiterungen wurden aus dem Store entfernt, zudem wurden die zugehörigen Entwicklerkonten (laut Microsoft: mehr als 90) ausgesetzt. Nutzer sollten dennoch aktiv prüfen, weil „Entfernung“ nicht automatisch bestehende lokale Zustände bereinigt. Empfohlen wird, Edge über „edge://extensions“ zu öffnen, die installierten Add-ons gegen die von Microsoft veröffentlichte Liste abzugleichen und betroffene Erweiterungen zu entfernen. Danach müssen Passwörter für besonders kritische Konten aktualisiert werden – und zwar nicht nur für die „offensichtlichen“ Browserkonten, sondern auch für Banking, E-Mail und WordPress. Ergänzend sollte man Sign-in-Historien überprüfen und starke Zwei-Faktor-Methoden einsetzen.
Regulatorisch und datenschutzseitig ist der Fall auch ein Hinweis auf die Verantwortung von Unternehmen und Herstellern: Sobald Session-Cookies und Anmelde-Credentials abgegriffen werden, sind typische personenbezogene Datenverarbeitungen betroffen – und das kann interne Meldepflichten in Datenschutzprozessen auslösen. Besonders in Organisationen mit segmentierter Identity-Landschaft (SSO, Conditional Access, Passwort-Policies) muss man damit rechnen, dass ein kompromittierter Browser-Zugang schnell weiterreichende Folgen hat. Im Idealfall minimieren Hardware-Security-Keys als Fallback gegen SMS-basierte Angriffe den Schaden, weil ein zweiter Faktor nicht allein durch eine Code-Interception ersetzt werden kann. Für größere Unternehmen ist zudem die Frage relevant, wie stark Endpoint-Policies und Browser-Management (z. B. erlaubte Erweiterungslisten) tatsächlich durchgesetzt sind.
In die Zukunft weist StegoAd weniger auf „eine neue“ Technik als auf eine neue Kombination vertrauter Komponenten hin: Steganografie im Dateiformat, polymorphe Decoding-Logik, dynamische Ausführung über Remote-Assets und das Ausnutzen legitimer Plattforminfrastruktur. Microsoft deutet selbst auf Verbindungen zu früheren Kampagnen hin, etwa über Domain-Kontexte und die wiederholte Nutzung ähnlicher Versteckmethoden in Erweiterungs-Icons sowie Namensüberschneidungen. Der nächste Schritt für die Branche dürfte deshalb weniger in einzelnen Signaturen liegen, sondern in durchgängigen Sicherheitslinien über Stores hinweg: bessere Verhaltensanalysen, strengere Korrelation zwischen Packaging und Runtime-Ausführung, und konsequentes Telemetrie-Monitoring auch außerhalb von „klassischen“ Datei-Scans.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Microsoft entfernt 119 Edge-Erweiterungen mit StegoAd: Code in Bildern und Fonts" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Microsoft entfernt 119 Edge-Erweiterungen mit StegoAd: Code in Bildern und Fonts" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Microsoft entfernt 119 Edge-Erweiterungen mit StegoAd: Code in Bildern und Fonts« bei Google Deutschland suchen, bei Bing oder Google News!