LONDON (IT BOLTWISE) – Sicherheitsforscher haben 18 schädliche Chrome-Erweiterungen und eine Microsoft-Edge-Erweiterung identifiziert, die nach dem Installieren Wallet-Geheimnisse abgreifen und Kryptowährungen abfließen lassen können. Der Angriff basiert auf einer Supply-Chain-Taktik: Täter übernehmen vorhandene Erweiterungen oder veröffentlichen zunächst saubere Versionen, bevor sie später die bösartige Logik nachladen. Auffällig ist auch die technische Ausgestaltung mit WebSocket-Command-and-Control, dynamischer Rotation von Server-Endpunkten und dem gezielten Umgehen von Schutzmechanismen wie Content-Security-Policy. Besonders relevant ist das für Nutzer mit bereits aktivem Browser-Update-Automatismus.
In den letzten sechs Monaten sind im Chrome Web Store sowie im Microsoft-Edge-Ökosystem mehrere Erweiterungen aufgetaucht, die zwar für Nutzer zunächst nach nützlichen Tools aussehen, technisch aber ein Risiko darstellen: Laut den dokumentierten Erkenntnissen wurden 18 Chrome-Erweiterungen und eine Edge-Erweiterung gefunden, die Wallet-Geheimnisse stehlen und Kryptowährungen „drainen“ können. Den Forschern zufolge weist das Set an Add-ons nicht nur thematische Überschneidungen auf, sondern auch Gemeinsamkeiten im Quellcode und in der Vorgehensweise, was auf eine koordinierte Kampagne hindeutet. Die Aktivität reicht nach den vorliegenden Indizien bis in den Zeitraum ab Februar 2024 zurück.
Der Kern der Supply-Chain-Strategie wirkt auf den ersten Blick banal, entfaltet in der Praxis aber eine starke Wirkung: Der Angreifer beschafft sich entweder legitime Erweiterungen mit funktionierender Oberfläche oder reicht zunächst eine „saubere“ Version ein, die für längere Zeit im Browser-Shop unauffällig bleibt. Sobald die Erweiterungen eine kritische Basis an Nutzer-Downloads erreicht haben, wird eine neue Version mit bösartigen Funktionen veröffentlicht. Damit verlagert sich das Risiko weg von einzelnen „enttarnten“ Installationen hin zu bereits verteilten Clients, die im Normalfall weiter auf Updates angewiesen sind. Ein Faktor, der diese Kettenreaktion begünstigt, ist die typische Update-Logik im Browser-Ökosystem, die bei aktivierten Standard-Einstellungen automatisiert greifen kann.
Im gefundenen Portfolio stammen 14 Erweiterungen aus eigener Erstellung des Angreifers, während die restlichen fünf zuvor von ihren bisherigen Besitzern gekauft wurden. Technisch wird dabei nicht nur exfiltrierte Nutzerdaten gesammelt, sondern auch eine Steuerung über Server-Infrastruktur ermöglicht. Konkrete Funktionen reichen von „Universal“-Sammlern bis zu spezialisierten Modulen, die sich gezielt an Wallet- und Austauschprozesse koppeln: In der Analyse werden unter anderem Module beschrieben, die mehrkettige Wallets leeren, Seed-Phrasen von Hardware-Wallets ernten oder Informationen aus Krypto-Börsen- und Wallet-Konten abgreifen. Daneben finden sich Bausteine, die als Credential- und Form-Grabber agieren, außerdem Angriffe auf Social-Media-Konten (u. a. Facebook und LinkedIn) sowie Browser-Historie-Auslesen. Ergänzend wird ein ClickFix-ähnliches Vorgehen genannt, bei dem eine gefälschte „Browser-Update“-Nachricht eingeblendet wird und der Nutzer anschließend system- und unternehmensspezifische Anweisungen zum Kopieren und Einfügen der schädlichen Kommandos befolgen soll.
Besonders nachvollziehbar wird die Angriffsmechanik an der Kommunikationsschicht und an der Art, wie die Erweiterungen Schutzrichtlinien umgehen. Den Angaben zufolge unterstützen die Erweiterungen einen Kontakt zu einem Command-and-Control (C2)-Server und bauen eine persistente WebSocket-Verbindung auf. Zusätzlich beschreibt die Analyse ein Ladeframework, das das C2-Endpunktziel anhand von Instruktionen aus dem initialen C2 dynamisch rotieren kann. So lässt sich Infrastruktur auf mehrere Gruppen verteilen, die Erkennung verschieben und ein separates Exfiltrations-Setup pro Opfer realisieren. Bei einem konkreten Beispiel wird zudem erklärt, dass der schädliche Code Content-Security-Policy-(CSP)-Header von Webseiten entfernt und dadurch das nachträgliche Einbetten von JavaScript-Modulen per Content-Scripts erleichtert. Insgesamt wurden dabei 16 Module identifiziert, was zeigt, dass die Erweiterungen nicht nur „einen“ Payload-Typ tragen, sondern ein regelbasiertes Arsenal aus verschiedenen Angriffspfaden.
Die potenzielle Reichweite ist nicht nur theoretisch. Eine der Erweiterungen („Enable Right Click & Copy – Smart Unlock + OCR“) wird im Kontext der Auswertung als besonders wirksam hervorgehoben, weil sie eine Installationsbasis von zusammen 80.000 Nutzern über Chrome und Edge hinweg erreicht hat. In dieser Größenordnung wird klar, warum die Täter auf den Moment des „sauberen Einstiegs“ setzen: Sobald die bösartige Version nachgeschoben wird, betrifft der Payload nicht nur Neumitglieder, sondern auch bereits aktive Nutzer, die den Browser täglich verwenden. Zudem wird beschrieben, dass einige bekannte Erweiterungen zuvor schon in anderen Sicherheitsanalysen als problematisch aufgefallen waren, einschließlich der Fähigkeit, Malware an nachgelagerte Nutzer weiterzugeben, willkürlichen Code einzuschleusen und sensible Daten zu ernten. Die neueren Beobachtungen erweitern den Blick: Die Kampagne scheint breiter zu sein, länger zu laufen und mehr Erweiterungen zu umfassen, als in früheren Meldungen sichtbar wurde.
Für Unternehmen, die heute Browser-Erweiterungen eher als „Randthema“ behandeln, ergibt sich daraus ein praktischer Handlungsdruck. Entscheidend ist weniger die einzelne Erweiterung als das Modell „Update nach Verteilung“: Wer nur nach der ersten Installation prüft, aber später keine kontinuierliche Kontrolle von Erweiterungsänderungen etabliert, bleibt gegenüber nachgeladener Logik angreifbar. Gleichzeitig zeigt die Technikseite, warum klassische Web-Schutzmaßnahmen nicht ausreichen: Wenn Erweiterungen CSP gezielt beeinflussen und Module in fremde Seiten einbringen, verschiebt sich die Angriffsfläche in Richtung des Client-Browsers selbst. Damit rückt die Frage nach Monitoring, sauberer Freigabeprozesse für Extensions und einer belastbaren Incident-Detection stärker in den Fokus, etwa über ungewöhnliche Netzwerkverbindungen zu C2-Endpunkten, abrupt geänderte WebSocket-Aktivitäten oder auffällige Einbettungs- und Script-Injection-Muster durch Content-Scripts.
Offen bleibt weiterhin, wer hinter der Kampagne steckt. Die Analyse betont jedoch, dass die erfolgreiche Betriebsdauer von über zwei Jahren auf einen erfahrenen Angreifer hindeutet. Für die nächsten Schritte wird damit vor allem die Betriebssicherheit der Erweiterungslandschaft entscheidend: Der Weg über legitime Verpackungen und spätere bösartige Updates ist für Angreifer effizient, weil er Nutzervertrauen und Update-Mechaniken ausnutzt. Gleichzeitig liefert das Muster klare Ansatzpunkte für die Verteidigung: Erweiterungen sollten nicht nur anhand ihres Funktionsversprechens bewertet werden, sondern anhand ihrer Kommunikationsmuster, ihres Update-Verhaltens und ihres technischen Zugriffsumfangs auf Seiteninhalte. Genau diese Kombination entscheidet darüber, ob aus einer „nützlichen“ Browser-Erweiterung schnell ein zuverlässiger Angriffsvektor wird.
Die untersuchten Namen der betroffenen Erweiterungen zeigen dabei ein breites Spektrum von scheinbar produktivitätsnahen, SEO- oder Kryptofunktionen, hinter denen sich ähnliche Angriffsbausteine verbergen können. Für IT-Teams ist das vor allem eine organisatorische Frage: Wenn Nutzer selbstständig Erweiterungen installieren, wird jede einzelne Entscheidung potenziell zum Startpunkt einer späteren Supply-Chain-Attacke. Präventiv helfen hier nicht nur Richtlinien, sondern vor allem eine laufende Sichtbarkeit über installierte Versionen, Änderungen und Netzwerkverhalten – denn bei solchen Kampagnen entscheidet der Zeitpunkt des Update-Schubs darüber, wann das eigentliche Schadprogramm aktiv wird.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Chrome- und Edge-Erweiterungen stehlen Wallet-Geheimnisse und entleeren Krypto" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Chrome- und Edge-Erweiterungen stehlen Wallet-Geheimnisse und entleeren Krypto" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Chrome- und Edge-Erweiterungen stehlen Wallet-Geheimnisse und entleeren Krypto« bei Google Deutschland suchen, bei Bing oder Google News!