LONDON / LONDON (IT BOLTWISE) – Google und Microsoft haben die ModHeader-Erweiterung aus Chrome und Edge entfernt, nachdem eine Analyse einen versteckten Daten-Collector in der offiziellen Store-Version gefunden hat. Der Code blieb zwar inaktiv, bis eine interne Allow-List hätte befüllt werden können – genau das fehlte im untersuchten Stand. Gleichzeitig zeigte die Untersuchung weitere Telemetrie-Schritte, darunter Pings an eine zweite Domain und unverschlüsselte Speicherung einzelner Request-Metadaten. Betroffen sind laut Analyse rund 1,6 Millionen Installationen, was die Tragweite für Unternehmensbrowser und Security-Teams deutlich macht.
Google und Microsoft haben die beliebte Browser-Erweiterung ModHeader gestoppt: Rund 1,6 Millionen Nutzer über Chrome und Edge bekamen damit plötzlich eine der gängigen „Header-Editor“-Tools nicht mehr aus dem Store. Auslöser war eine Code-Analyse, die einen versteckten Collector in der offiziellen, signierten Version identifizierte. Der Clou liegt weniger im auffälligen Verhalten, sondern im Design: Der zentrale Datentransfer war über eine interne Allow-List an einen Gate gekoppelt und blieb im untersuchten Stand offenbar blockiert. Dennoch genügt dieses Muster, um das Risiko für Unternehmensumgebungen zu verschärfen, weil eine spätere, harmlose Update-Aktion das Verhalten reaktivieren könnte.
Technisch ist besonders relevant, wie ModHeader den Collector in den Extension-Code „tarnt“. In Version 7.0.18 wird weiterhin wie beworben an HTTP-Headern gearbeitet; parallel enthält das Minified Background-Skript jedoch zusätzliche Logik. Beim ersten Start baut die Erweiterung eine Gerätekennung (device fingerprint), lädt dabei eine fest eingebettete Verschlüsselungs-„Key“-Komponente und sammelt beim Surfen die Domains der geöffneten Seiten. Die Liste wird lokal gespeichert, auf maximal 1.000 Domains begrenzt. Danach bündelt ein Scheduler die verschlüsselten Daten einmal täglich zusammen mit der Gerätekennung, sendet sie an einen API-Endpunkt und löscht anschließend die lokale Kopie.
Für die Bewertung zählt dabei das Zusammenspiel aus Timing, Verschlüsselung und Erkennungsschwelle. Die Daily-Uploads werden so versetzt, dass Installationen nicht synchron „beaconen“ würden, falls das Gate tatsächlich aktiv wäre. Außerdem ist die Upload-Nutzlast verschlüsselt: Automatisierte Scanner würden daher primär Ciphertext sehen, nicht klare Domain-Listen. Zusätzlich kapselt die Allow-List die entscheidende Pipeline. In der untersuchten Konfiguration blieb die Liste leer, wodurch die Codepfade vor dem eigentlichen Collect/Upload abbrachen. Aus Markt- und Security-Sicht ist das ein klassisches Muster aus „dormant code“: Der sichtbare Feature-Teil wirkt wie ein vertrauenswürdiges Werkzeug, während der problematische Pfad erst durch ein Update oder eine Konfigurationsänderung voll funktional wird.
Der Store-Abzug reiht sich in eine größere Entwicklung ein, die bereits in der Vergangenheit aufgefallen ist: Erweiterungen werden übernommen und in der Folge zu Daten-Pipelines umgebaut. In einer früheren, vielzitierten Untersuchung wurde beschrieben, dass populäre Add-ons stillschweigend „gekauft und umgewandelt“ werden können, ohne dass sich Nutzerverhalten unmittelbar ändert. Aktuell zeigt der ModHeader-Fall, wie sich das Risiko mit Gatekeeping, verschlüsselten Exfiltrationen und signierten Store-Paketen modernisieren lässt. Auch andere Kategorien waren in diesem Jahr auffällig, etwa Erweiterungen, die sich als „anonyme Analytics“ ausgaben oder als vermeintliche Business-Tools arbeiteten, um Sessions zu kompromittieren. Für Enterprise-Teams heißt das: Klassische „Extension ist signiert“-Prüfungen reichen nicht als alleinige Qualitätsbarriere aus.
Im untersuchten Fall konnten die Analysten außerdem Infrastrukturbezüge herstellen: Die Domains wurden auf reale, gepflegte Server gemappt, wobei zumindest eine Adresse offenbar als Front für Such- bzw. OpenSearch-Backends diente und eine zweite Domain eher dem Werbe- bzw. Marketingkontext zugeordnet war. Die beiden Endpunkte sollen während der Analyse auf denselben Cloud-Server aufgelöst haben; das belegt jedoch nicht eindeutig den Betreiber. Einzelne, eher schwache Indikatoren deuteten grob auf eine chinesischsprachige Arbeitsumgebung hin, ohne dass eine konkrete Gruppe benannt wurde. Neben dem Collector fand die Analyse außerdem Hinweise auf weitere Aktivität: Bei Install, Update und Deinstallation erfolgte ein Ping an eine zweite Domain, und auf jeder Seite liefen bereits Skripte, die Request-Metadaten in Klartext in lokaler Speicherung ablegten.
Für die Praxis ist die Maßnahme relativ klar, auch wenn sie technisch sauber umgesetzt werden muss. Wer ModHeader im Einsatz hat, sollte die Extension aus Chrome und Edge entfernen; im besten Fall war sie bereits durch Browser-Sicherheitsmechanismen deaktiviert. Da Deinstallation zwar lokale Daten löscht, sollte parallel geprüft werden, ob Profil-Sync oder Managed Extension Policies die Erweiterung wieder in den Nutzer- oder Unternehmenskontext zurückspielen. Wichtig ist ebenfalls ein Secret-Check: Wenn in ModHeader API-Keys, Bearer-Tokens oder Session-Cookies eingetragen oder angezeigt wurden, sollten diese konsequent rotiert werden, weil die Analyse eine Speicherung von Header- bzw. Request-Informationen auf dem Gerät nahelegt. Für Verteidiger empfiehlt sich außerdem, die betroffenen Endpunkte auf DNS- und Proxy-Ebene zu blocken und Logs gezielt nach dem Extension-ID-Muster sowie nach POST-Anfragen an den API-Pfad zu durchsuchen.
Der eigentliche Lernwert geht über diesen einen Takedown hinaus. Sicherheitsscanner können „niedriges Risiko“ signalisieren, obwohl der gefährliche Teil verschlüsselt, nicht synchron und über ein dormant Gate gekoppelt ist. Ebenso zeigt der Fall, dass eine Routine-Aktualisierung später eine leere Allow-List befüllen könnte, ohne dass Nutzer aktiv klicken oder zusätzliche Berechtigungen erteilt würden. In der Konsequenz sollten Unternehmen neben der Whitelist-Strategie für Erweiterungen auch für Ausnahmen strenger prüfen: Pfad- und Code-Analysen sollten explizit nach versteckten Call-home-Endpunkten, Scheduler/Exfil-Mechanismen und lokalen Storage-Artefakten suchen. Als Alternative werden in vielen Umgebungen „konservativere“ Tools wie etablierte Content-Blocker oder gezielte DevTools-Workflows genutzt, weil sie weniger Angriffsfläche für manipulierbare Header bieten. Für die nächsten Monate ist deshalb zu erwarten, dass sich der Fokus im Erweiterungs-Ökosystem weiter auf die Kontrolle dormant bleibender Codepfade und die Überwachung neu auftauchender Domains verlagert.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "ModHeader-Chaos: Google und Microsoft entfernen Extension nach verstecktem Collector" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "ModHeader-Chaos: Google und Microsoft entfernen Extension nach verstecktem Collector" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »ModHeader-Chaos: Google und Microsoft entfernen Extension nach verstecktem Collector« bei Google Deutschland suchen, bei Bing oder Google News!