Gefährliche Browser-Erweiterungen bedrohen Nutzer in Lateinamerika

BRASILIEN / LONDON (IT BOLTWISE) – Eine neue Cyberkampagne hat seit Anfang 2025 zahlreiche Nutzer in Lateinamerika ins Visier genommen. Ziel ist es, durch bösartige Browser-Erweiterungen sensible Authentifizierungsdaten zu stehlen.

In einer alarmierenden Entwicklung haben Cybersecurity-Experten eine neue Bedrohung aufgedeckt, die sich seit Anfang 2025 gegen Nutzer in Brasilien und anderen lateinamerikanischen Ländern richtet. Die Angreifer nutzen bösartige Erweiterungen für Chromium-basierte Browser, um Authentifizierungsdaten zu stehlen. Diese Kampagne, die unter dem Namen Operation Phantom Enigma bekannt ist, hat bereits 722 Nutzer in Ländern wie Brasilien, Kolumbien und Mexiko infiziert.

Die Angriffe beginnen häufig mit Phishing-E-Mails, die als Rechnungen getarnt sind. Diese E-Mails enthalten Links oder Anhänge, die den Nutzer dazu verleiten, eine Datei herunterzuladen. Diese Datei enthält ein Batch-Skript, das ein PowerShell-Skript ausführt. Dieses Skript prüft, ob es in einer virtuellen Umgebung läuft und ob die Sicherheitssoftware Diebold Warsaw installiert ist, die in Brasilien weit verbreitet ist, um Online-Transaktionen zu sichern.

Die Angreifer haben es geschafft, die bösartigen Erweiterungen in den Browsern Google Chrome, Microsoft Edge und Brave zu installieren. Diese Erweiterungen wurden bereits aus dem Chrome Web Store entfernt, doch die Gefahr bleibt bestehen. Die Erweiterungen sind in der Lage, JavaScript-Code auszuführen, wenn der Nutzer eine Webseite der Banco do Brasil besucht, und senden Authentifizierungstoken an die Server der Angreifer.

Ein bemerkenswerter Aspekt dieser Kampagne ist die Verwendung von deutschen Begriffen in den Befehlen, die an die infizierten Systeme gesendet werden. Dies könnte auf den Standort der Angreifer hinweisen oder darauf, dass der Quellcode von einer anderen Quelle übernommen wurde. Die Angreifer nutzen auch andere Methoden, um ihre bösartigen Erweiterungen zu verbreiten, darunter Windows Installer und Inno Setup Installer.

Positive Technologies, das Unternehmen, das die Kampagne untersucht hat, fand heraus, dass die Angreifer auch Remote-Access-Software wie MeshCentral Agent oder PDQ Connect Agent einsetzen, um die Kontrolle über die Systeme der Opfer zu erlangen. Diese Software ermöglicht es den Angreifern, die Systeme aus der Ferne zu steuern und weitere bösartige Aktivitäten durchzuführen.

Die Bedrohung durch solche Angriffe ist erheblich, da sie nicht nur die Privatsphäre der Nutzer gefährden, sondern auch die Sicherheit von Unternehmensnetzwerken beeinträchtigen können. Experten raten Nutzern, besonders vorsichtig mit E-Mails umzugehen, die Anhänge oder Links enthalten, und sicherzustellen, dass ihre Sicherheitssoftware auf dem neuesten Stand ist.

Diese Kampagne zeigt einmal mehr, wie wichtig es ist, wachsam zu bleiben und sich über die neuesten Bedrohungen im Bereich der Cybersicherheit zu informieren. Unternehmen sollten ihre Mitarbeiter regelmäßig schulen und Sicherheitsrichtlinien implementieren, um das Risiko solcher Angriffe zu minimieren.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!