LONDON (IT BOLTWISE) – Sicherheitsforscher haben eine Kampagne mit 18 Chrome- und einer Edge-Erweiterung identifiziert, die Wallet-Geheimdaten stehlen und Kryptowährung abfließen lassen können. Die betroffenen Add-ons wurden über mehrere Monate verteilt und kombinieren scheinbar legitime Funktionen mit bösartigen Server-Kommunikationen. Laut Karlo Zanki von Socket deutet der Code auf eine Aktivität seit Februar 2024 hin. Besonders kritisch ist das Muster, bei dem schädliche Updates nach einer Erstinstallation nachgeladen werden.
Eine scheinbar kleine Zahl an Browser-Add-ons entpuppt sich bei genauer Analyse als ernstes Einfallstor: Sicherheitsforscher berichten über 19 Erweiterungen – 18 für Google Chrome und eine für Microsoft Edge –, die über den Zeitraum der letzten sechs Monate im jeweiligen Store veröffentlicht wurden. Im Kern geht es um einen Mechanismus, der Wallet-Geheimdaten ausliest und „Crypto Draining“-Fähigkeiten bereitstellt. Bemerkenswert ist dabei weniger die reine Anzahl als die organisatorische Strategie, weil die Erweiterungen in der Praxis wie normale Produktiv- oder Analyse-Tools auftreten können, während sie gleichzeitig Daten abziehen und Befehle entgegennehmen.
Socket ordnet das Vorgehen unter dem Namen „Superior“ ein. Laut Karlo Zanki lassen sich beim Code und im Vorgehensstil Ähnlichkeiten erkennen, die auf dieselbe Kampagne schließen. Die Forscher sehen zudem Indizien, dass die Aktivität bereits seit Februar 2024 läuft, auch wenn einzelne Veröffentlichungen erst in den letzten Monaten sichtbar wurden. Der Modus Operandi wirkt dabei fast „geschäftslogisch“: Entweder beschafft der Angreifer zunächst Erweiterungen mit korrekter Funktionalität, oder er lädt eine „saubere“ Version hoch, in der kein Schadcode enthalten ist. Sobald Nutzer beginnen, über die Erweiterung Downloads anzustoßen, wird eine neue Version mit den bösartigen Funktionen nachgeschoben – ein Muster, das die Lebensdauer eines initial vertrauenswürdig wirkenden Stands verlängert.
Aus technischer Sicht wird der Schaden über mehrere Ebenen vorbereitet. Die identifizierten Add-ons teilen laut den Untersuchungen die Fähigkeit, Kontakt zu einem Command-and-Control- (C2-) Server aufzunehmen und dabei eine persistente WebSocket-Verbindung aufzubauen. Zusätzlich erwähnen die Forscher ein Lademodell, das eine Rotation des C2-Endpunkts anhand von Anweisungen der ersten C2-Instanz ermöglicht. Dieses „Umschalten“ ist nicht nur eine Verlagerung der Infrastruktur, sondern dient auch dazu, Opfer in unterschiedliche Gruppen zu verteilen und dedizierte C2-Setups zu nutzen, während gleichzeitig die Detektionswahrscheinlichkeit sinkt. Für die Datenexfiltration geben die Analysen außerdem an, dass auch der Ziel-Endpunkt pro Opfer dynamisch über C2-Anweisungen gesetzt wird.
Im Browser wird der Angriffsweg dann über konkrete Eingriffe in Sicherheitsmechanismen sichtbar. Bei Fällen wie „QuickLens – Search Screen with Google Lens“ soll der Schadcode Content-Security-Policy- (CSP-) Header von Seiten entfernen und anschließend JavaScript-Code-Module mittels Content-Scripts in Zielwebseiten injizieren. Insgesamt identifizieren die Forscher dabei 16 Module, die sich nicht als ein einzelnes Schadziel beschreiben lassen, sondern als modulare Funktionsbausteine: Dazu zählen Mechanismen zum Auslesen von Seed-Phrasen bei Hardware-Wallets, das Abgreifen von Wallet- oder Exchange-Konten sowie Module, die entweder universelle Credential- oder Formular-Informationen greifen. Daneben werden als Funktionsfamilien auch das Stehlen von Facebook- und LinkedIn-Konten, das Auslesen von Browser-Historien, sowie ClickFix-ähnliche Köder genannt. Gerade dieser letzte Baustein ist besonders gefährlich, weil er in der Praxis einen scheinbar harmlosen Vorgang auslöst: Ein gefälschter „Browser-Update“-Dialog und eine Folge von OS-spezifischen Anweisungen sollen Nutzer dazu bringen, einen bösartigen Befehl per Copy-and-Paste auszuführen.
Die Liste der betroffenen Erweiterungen zeigt, wie breit das Köderdesign gefächert ist: Von Tools wie „Enable Right Click & Copy – Smart Unlock + OCR“ über „QuickLens“ und „RapidLens“ bis hin zu Wallet- und Preis-Überblicken wie „Blockfolio: Address Monitor“, „Crypto Rates & Fiat Converter“, „DeFi Pulse Tracker“ oder „Multi-Chain Explorer“ reicht die Palette. Hinzu kommen Erweiterungen, die sich als SEO- und Traffic-Checker ausgeben sowie Angebote zur Spiegelung oder zum automatisierten „Save“-Handling von Anzeigen („Meta & Facebook Ad Library Spy – Save Ads, Finder, Downloader | FeedX-Ray“). Laut den Untersuchungen wurden dabei 14 Erweiterungen vom Angreifer selbst erstellt und fünf zuvor von anderen Besitzern übernommen, was den Eindruck verstärkt, dass es sich nicht um eine einzelne spontane Aktion handelt, sondern um eine wiederholbare Pipeline aus Beschaffung, Veröffentlichung, Nutzerbindung und späterem Funktionswechsel.
Der Punkt, der für Endanwender organisatorisch am meisten wiegt, ist das Update-Verhalten. Zanki betont als größtes Risiko gerade die Technik, mit der der Angreifer zuerst eine legitime Erweiterung erwirbt oder eine harmlose Version bereitstellt und anschließend bösartige Versionen nachschiebt. Wenn Browser-Standard-Updateeinstellungen in der Praxis so wirken, dass neue Erweiterungsstände automatisch übernommen werden, entsteht für den Angreifer eine Art „Hebel“, weil ein einmal vorhandenes Vertrauensverhältnis in Reichweite und Wirkung umgewandelt wird. Gleichzeitig macht die beobachtete Infrastruktur-Komponente mit WebSocket, C2-Rotation und dynamischen Exfiltrationspfaden deutlich, dass die Kampagne nicht auf unzuverlässige Einmal-Fehler setzt, sondern auf dauerhafte Steuerbarkeit. Ungeklärt bleibt weiterhin, wer konkret hinter „Superior“ steckt; dass die Aktivität jedoch – nach den vorliegenden Indizien – seit mehr als zwei Jahren läuft, spricht für ein technisch versiertes Vorgehen.
Für Unternehmen und Sicherheitsverantwortliche folgt daraus weniger die Frage, ob eine Erweiterung „optisch“ plausibel ist, sondern wie sie sich im Betrieb verhält. Besonders sensible Umgebungen sollten Erweiterungen konsequent inventarisieren, ungewöhnliche Netzwerkmuster zu C2-ähnlichen Endpunkten prüfen und auf Eingriffe in Browser-Sicherheitskopplungen wie CSP achten. Auch hilfreich ist ein Prozess, der „funktional gleiche“ Erweiterungen mit unterschiedlichem Änderungszeitpunkt betrachtet: Wenn nach einem Update neue Datenpfade oder Script-Injection-Verhalten auftauchen, ist das ein deutlicher Alarm. Die Meldung unterstreicht damit eine klassische Schwachstelle moderner Desktop-Workflows: Das Browser-Ökosystem bleibt zwar komfortabel, aber es bietet Angreifern mit geschicktem Update-Design eine sehr effektive Angriffsfläche.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Wallet-Diebstahl über Chrome- und Edge-Erweiterungen: Kampagne „Superior“" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Wallet-Diebstahl über Chrome- und Edge-Erweiterungen: Kampagne „Superior“" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Wallet-Diebstahl über Chrome- und Edge-Erweiterungen: Kampagne „Superior“« bei Google Deutschland suchen, bei Bing oder Google News!