LONDON (IT BOLTWISE) – Sicherheitsforscher warnen vor der Kampagne „Silent Swap“, die über manipulierte Chromium-Extensions Krypto-Zahladressen im Clipboard austauscht. Laut McAfee Labs laufen diese Angriffe teils über unsigned Installer und injizieren die Schadkomponente, ohne den üblichen Store-Prozess zu durchlaufen. Zusätzlich verknüpft die Malware die Ermittlung der Command-and-Control-Serverdetails mit der Blockchain, um Updates ohne erneutes Ausrollen zu ermöglichen. Parallel tauchen weitere Clipboard-Stealer auf, die sich als „Free VPN“-Erweiterungen tarnen.
Wer heute in Unternehmen oder bei Privatnutzern Krypto-Transaktionen vorbereitet, vertraut häufig auf eine simple Zwischenablage: Die Wallet-Adresse wird kopiert, in die Wallet- oder Börsenmaske eingefügt, fertig. Genau an dieser Komfortzone setzen die neuen Funde an: Unter dem Namen „Silent Swap“ beschreibt McAfee Labs eine Browser-Extension-Kampagne, die die kopierten Wallet-Adressen im Hintergrund austauscht. Der Angriff ist so gestaltet, dass Nutzer beim Start des Transaktions-Workflows keine auffälligen Pop-ups sehen. Da Blockchain-Transfers in der Regel irreversibel sind, kann bereits eine einzelne falsche Adresse zu dauerhaftem Vermögensverlust führen.
Technisch setzt „Silent Swap“ nicht auf einen klassischen Phishing-Link, sondern auf eine Prozesskette aus Installer, Extension-Injektion und addressbezogener Manipulation. Den Forschern zufolge wird die Kampagne über unsigned Installer ausgeliefert, beobachtet in Varianten für .NET und Golang. Der .NET-Installer („BaseZipInstaller“) lädt dabei offenbar ein ZIP-Archiv als Grundlage und sucht anschließend gezielt nach Chromium-basierten Browsern. Für jedes gefundene Browser-Profil beendet der Installer den Browserprozess und injiziert die Extension, indem er Konfigurationsdateien manipuliert: Er verändert die „Secure Preferences“ und „Preferences“-Dateien, sodass der Browser die später geladene Erweiterung als legitim ansieht.
Der Kernmechanismus entspricht dem Bild eines „Clipper“-Angriffs, erweitert um dynamische Umkodierung der Zieladresse. Die gefälschte „Google Notes“-Extension fordert Berechtigungen für den Zugriff auf die Zwischenablage, aber auch auf alle URLs und den Verlauf. Sobald Nutzer eine Wallet-Adresse in die Zwischenablage kopieren, sendet die Malware diese an einen Angreifer-Backend. Dort erfolgt die Ersetzung: Die ursprüngliche Adresse wird durch eine alternative, attacker-kontrollierte Adresse ersetzt, bevor der Benutzer sie in der Krypto-App oder Weboberfläche einfügt. Laut McAfee Labs ist das besonders riskant, weil die Zuordnung nicht statisch ist, sondern serverseitig und je nach Blockchain-Asset unterschiedlich ausfällt.
Ein zentraler Unterschied zu früheren Ansätzen ist die von McAfee Labs erwähnte „EtherHiding“-Technik. Dabei nutzt die Malware die Blockchain als eine Art „Dead-Drop“-Resolver, um jeweils die aktuellen Command-and-Control-Details zu ermitteln. Das reduziert für Angreifer den Aufwand: Statt die Schadsoftware neu auszurollen, kann der Betreiber per Transaktion einen Smart-Contract-Wert so ändern, dass die Malware auf eine neue Domain zeigt. In klassischen Kampagnen waren C2-Domains oft fragil, weil sie bei Beschwerden oder Sinkholing schneller auffallen. Zusätzlich beschreibt McAfee Labs die Persistenz über die Registrierung der Extension in den Browser-Settings, sodass sie bei späteren Browserstarts erneut geladen wird, ohne dass erneut ein separater Installer-Mechanismus nötig ist.
Der Marktkontext zeigt, dass Angreifer derzeit auf „Consumer Convenience“ statt auf komplexe Exploits setzen. „Silent Swap“ injiziert Erweiterungen über manipulierte Browser-Einstellungen und macht damit den Store-Prozess überflüssig, während gleichzeitig die eigentliche Funktionalität im Hintergrund läuft. Vergleichbar ist das Vorgehen zu anderen Clipboard-Stealern: Parallel berichtete „Socket“ über schädliche Chrome- und Firefox-Erweiterungen, die als kostenlose VPN-Tools („VPN Go: Free VPN“) angeboten wurden, dabei aber Proxy-Funktionalität nur vorgaben und im Hintergrund kontinuierlich Clipboard-Inhalte abgriffen. Der entscheidende Punkt für Sicherheitsverantwortliche ist die Kombination aus Nutzenversprechen (VPN/Notes) und echter Datenabzweigung, einschließlich sensibler Inhalte wie Passwörtern, Authentifizierungscodes, API-Schlüsseln, OAuth-Tokens und Seed-Phrases.
Aus Enterprise-Sicht verschiebt sich damit das Risiko von „nur“ Malware-Installation hin zu einer dauerhaften Vertrauenskompromittierung im Benutzerworkflow. Während Unternehmen häufig auf EDR/AV und Browser-Isolation setzen, greift diese Klasse von Angriffen an einer anderen Stelle: Sie manipuliert den Inhalt, der bereits lokal produziert wurde (Zwischenablage) und in nachgelagerte Systeme fließt. Das erfordert neue Schutzlogiken, etwa das Erkennen ungewöhnlicher Extension-Berechtigungen, das Monitoring von Änderungen in Browser-Settings-Dateien und die Absicherung von Krypto-Workflows durch zusätzliche Validierung (z. B. Address-Checksum-Checks oder das Verifizieren per Out-of-Band-Channel). Außerdem wird Social Engineering als Enablement-Komponente betont, weil für neuere Browser offenbar der Developer Mode aktiviert werden muss, bevor diese Umgehungsroute zuverlässig funktioniert.
Für die Zukunft zeichnet sich eine klare Linie ab: Angriffe werden modularer, dynamischer und schwerer „statisch“ zu stoppen. McAfee Labs formuliert diese Entwicklung sinngemäß als Übergang von fest verdrahteten Adressen und C2-Endpunkten hin zu serverseitigen, per Opfer konsistenten Zuordnungen sowie Blockchain-gestützten Lookups, die Betreiber mit minimalem Aufwand rotieren lassen. Zugleich zeigen die Beobachtungen von Versionierung und Infrastrukturwechseln bei den „Free VPN“-Extensions, dass selbst kurze Update-Zyklen genutzt werden, um Erkennungslücken zu schließen. Für Entwickler und Security-Teams bedeutet das: Wer Krypto- und Identitätsdaten schützt, muss nicht nur auf „bösartige“ Dateien schauen, sondern den Datenfluss innerhalb des Browsers und die Integrität von Benutzereingaben absichern.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Silent Swap: Browser-Extensions manipulieren Krypto-Adressen im Clipboard" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Silent Swap: Browser-Extensions manipulieren Krypto-Adressen im Clipboard" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Silent Swap: Browser-Extensions manipulieren Krypto-Adressen im Clipboard« bei Google Deutschland suchen, bei Bing oder Google News!