Chrome-Erweiterung erstmals für staatliche Spionage-Aktionen genutzt

Erweiterungen für den Chrome-Browser haben allem Anschein nach jetzt auch ihre Premiere in der staatlichen Spionage gefeiert. Erstmals soll eine Hacking-Gruppe, die mit hoher Wahrscheinlichkeit Verbindungen zu staatlichen Strukturen beziehungsweise einem Geheimdienst hat, auf dieses Mittel zurückgegriffen haben. Zumeist werden manipulierte Browser-Erweiterungen von "normalen" Kriminellen eingesetzt, um Nutzer auszuspionieren oder auch Werbeplätze auf Webseiten mit eigenen Reklame-Schaltungen zu überschreiben und somit Geld zu verdienen. Bisher wurde im Grunde nur ein Fall bekannt, in dem Extensions von einem Advanced Persistent Threat (APT, wie Security-Experten staatliche Akteure umschreiben) genutzt haben. Das war die mit Russland verbundene Turla-Gruppe, die 2015 Firefox-Erweiterungen verbreitete.

Ein Forscherteam bei der Firma Netscout hat nun allerdings erstmals auch eine Chrome-Erweiterung entdeckt, die gezielt von einem vermutlich staatlichen Akteur eingesetzt wird, der wohl Nordkorea zuzurechnen ist. Dabei wird den gewünschten Anwendern im Zuge einer so genannten Spear Phishing-Kampagne ein PDF-Dokument zugeschickt, das sich erst einmal nicht anschauen lässt. Der Anwender wird darauf verwiesen, dass ein "Auto Font Manager" benötigt wird, um die Inhalte korrekt anzuzeigen. Ein Link verwies auf einen entsprechenden Download im Chrome Web Store, berichtete das US-Magazin ZDNet.

Erweiterung greift Passwörter ab

Wenn die Erweiterung erst einmal installiert war, stellte sie aber keineswegs nur die Ressourcen zur Verfügung, mit denen sich das PDF-Dokument ordentlich anzeigen ließ. Die Software überwachte auch die Aktivitäten des Nutzers im Browser. Es wurden hier Passwörter und Cookies abgegriffen und im Hintergrund per E-Mail verschickt, um den Spionen weitergehende Türen zu öffnen.

Das Ziel bestand wohl im Wesentlichen in Wirtschaftsspionage. Die meisten Opfer, bei denen die schädliche Chrome-Erweiterung gefunden wurde, arbeiteten im Bereich der Biotechnologie. Bei der Analyse stellte sich allerdings auch heraus, dass die Überwachungs-Infrastruktur zuvor schon eingesetzt wurde, um Mitarbeiter diverser Universitäten in anderen Fachrichtungen auszuforschen und wissenschaftliche Erkenntnisse abzugreifen.

Siehe auch: Chrome-Erweiterung von Mega gehackt, hat massiv Daten abgegriffen