LONDON (IT BOLTWISE) – Sicherheitsforscher haben eine Kampagne entdeckt, die 18 schädliche Google-Chrome- und eine Microsoft-Edge-Erweiterung über einen Zeitraum von rund sechs Monaten verteilt. Die Add-ons stehlen Wallet-Geheimdaten und leiten Kryptowährungs-Transaktionen über manipulierte Server ab. Laut den Untersuchungen arbeitet das Muster mit getarnten Updates und dynamischer Anbindung an Command-and-Control-Infrastruktur über WebSockets. Besonders brisant ist dabei eine Erweiterung mit einem gemeldeten Nutzerfundament von 80.000 Installationen in beiden Browsern.
In der Praxis beginnt die Geschichte selten mit spektakulärem Hacken, sondern mit einem leisen „Upgrade“ im Browser: Eine neue Auswertung von Sicherheitsforschern zeigt, dass gleich 19 Erweiterungen für Google Chrome und Microsoft Edge walletbezogene Geheimdaten aus Nutzersitzungen abgreifen und gleichzeitig Kryptowährungen gezielt „ablaufen“ lassen können. Laut den vorliegenden Analysen wurden die schädlichen Add-ons in den letzten sechs Monaten veröffentlicht und bilden offenbar eine zusammenhängende Kampagne, die unter dem Namen „Superior“ beobachtet wird. Die Code- und Vorgehens-Ähnlichkeiten deuten darauf hin, dass der Angriff nicht erst kürzlich gestartet ist, sondern nach den Hinweisen bereits seit Februar 2024 aktiv gewesen sein könnte.
Technisch ist das Vorgehen dabei bemerkenswert pragmatisch: Die Angreifer sollen entweder funktionierende, legitime Erweiterungen beschaffen und anschließend unter Kontrolle bringen oder eine scheinbar saubere Version veröffentlichen, die zunächst keine Schadlogik enthält. Sobald die Erweiterungen genügend Nutzerinteraktionen erzeugen – konkret: sobald Downloads und Nutzung einsetzen – folgt der entscheidende Schritt: Es wird eine neue Version mit bösartigem Verhalten nachgeschoben. Von den identifizierten Erweiterungen seien 14 vom Täter selbst erstellt und publiziert worden, die restlichen fünf hingegen zuvor von ihren ursprünglichen Besitzern gekauft worden. Für Unternehmen und Administratoren ist das deshalb schwierig, weil der „Erscheinungsmodus“ anfangs wie ein reguläres Produkt wirkt und erst zu einem späteren Zeitpunkt die eigentliche Funktion übernimmt.
Ein zusätzlicher Hebel liegt in der Kommunikation mit der Angriffsserver-Infrastruktur. Jede der betroffenen Erweiterungen unterstützt nach den Erkenntnissen die Verbindung zu einem Command-and-Control-Server (C2) sowie den Aufbau einer persistenten WebSocket-Verbindung. Entscheidend ist außerdem, dass ein Ladeframework C2-Endpunkte rotieren kann: Die Erweiterung soll nach Anweisungen des initialen C2-Servers weitere Ziele auswählen und damit die Infrastruktur flexibel wechseln. Beobachtet wurde dieses Verhalten laut der Untersuchung bereits „in the wild“. Für den Betrieb bedeutet das: Selbst wenn ein Defender-Team einen C2-Host einmal identifiziert, kann die nächste Phase über andere Endpunkte laufen, wodurch statische Blocklisten oder Einmal-Sperren deutlich an Wirksamkeit verlieren.
Unter den betroffenen Erweiterungen sticht eine besonders hervor, die auf beiden Browsern zusammen eine installierte Basis von etwa 80.000 Nutzern hat: „Enable Right Click & Copy – Smart Unlock + OCR“. Über die reine Zahl hinaus ist die Architektur-Fähigkeit interessant, denn die Kampagne kann damit verschiedene Opfergruppen bedienen und dedizierte C2-Infrastruktur nutzen. Die Datenausleitung erfolgt zudem dynamisch: Das Ziel für die Exfiltration soll aus den C2-Kommandos abgerufen werden, was pro Opfer oder zumindest pro Auslieferungs- bzw. Kommunikationskontext einen spezifischen Kanal ergeben kann. Genau diese Kombination aus Endpunktrotation und per-Kontext-Channel macht die Forensik deutlich aufwändiger, weil sich Muster im Netzwerkverkehr weniger eindeutig über mehrere Zeitfenster hinweg wiederholen.
Wie tief der Eingriff in den Browser stattfindet, zeigt sich besonders an einem verwandten Beispiel: Bei „QuickLens – Search Screen with Google Lens“ wurde beschrieben, dass der in die Erweiterung eingebettete Schadcode Content-Security-Policy-(CSP)-Header aus jeder Seite entfernt. Damit wird eine zentrale Schutzbarriere im Browserprozess geschwächt, denn CSP dient normalerweise dazu, das Laden und Ausführen fremder Skripte zu beschränken. Anschließend kann die Erweiterung mithilfe von Content-Scripts JavaScript-Module in betroffene Websites einschleusen. Insgesamt wurden dabei 16 solche Module identifiziert, die in mehrere Funktionsblöcke fallen: Dazu zählen Module, die Multi-Chain-Wallets entleeren, Seed-Phrasen von Hardware-Wallets ernten und Daten zu Krypto-Börsen- und Wallet-Konten abgreifen. Ebenso sind Mechanismen zur Abholung von allgemeinen Zugangsdaten bzw. Formulardaten dokumentiert, daneben auch Angriffe, die auf Social-Accounts wie Facebook und LinkedIn zielen, Browserhistorien auslesen und eine ClickFix-ähnliche „Ablenk“-Masche verwenden.
Bei der ClickFix-ähnlichen Komponente setzt der Angreifer demnach auf eine Kombination aus Täuschung und systemnaher Anleitung: Es soll ein gefälschter Browser-Update-Dialog eingeblendet werden, verbunden mit Betriebssystem-spezifischen Anweisungen, um den Nutzer dazu zu bringen, eine schädliche Aktion selbst auszuführen, etwa indem er einen manipulierten Befehl kopiert und einfügt. Für Sicherheitsverantwortliche ist das wichtig, weil es zeigt, dass nicht nur klassischer Datendiebstahl per Upload stattfindet, sondern auch Interaktionsmanipulation, die die Wahrscheinlichkeit erhöht, dass die eigentliche Ausführung im richtigen Moment erfolgt. Gleichzeitig erklärt dieser Ansatz, warum solche Erweiterungen im Alltag lange unauffällig bleiben: Sie wirken wie Produktiv-Tools, liefern aber im Hintergrund die Steuerung und die Payload-Module.
Wer hinter der Kampagne steckt, bleibt laut den Angaben unbekannt. Gerade weil die Aktivität nach den Hinweisen jedoch über mehr als zwei Jahre hinweg erfolgreich lief, ist davon auszugehen, dass die Angreifer über ausgereifte Betriebsabläufe verfügen. Für Endanwender ist das größte Risiko weniger die einzelne Erweiterung als die Taktik des „Legitimitäts-Tarnens“: Durch das Einbringen authentisch wirkender Funktionen und das spätere Pushen einer kompromittierenden Version entsteht ein Update-Pfad, den viele Nutzer ohne Misstrauen passieren. Unternehmen sollten das deshalb als Anlass nehmen, ihre Browser-Sicherheitsstrategie zu schärfen – etwa durch Restriktionen auf Erweiterungen, Monitoring von Installations- und Update-Aktivitäten sowie eine konsequente Prüfung neuer Add-ons in Bezug auf ungewöhnliche Netzwerkverbindungen zu unbekannten C2-Endpunkten und persistente WebSocket-Aktivität.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Überfall auf Wallets: 19 schädliche Browser-Extensions für Chrome und Edge" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Überfall auf Wallets: 19 schädliche Browser-Extensions für Chrome und Edge" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Überfall auf Wallets: 19 schädliche Browser-Extensions für Chrome und Edge« bei Google Deutschland suchen, bei Bing oder Google News!