China-Hacker greifen heimlich Millionen Chrome- und Edge-Nutzer an

Ein jahrelang unentdeckter Angriff auf Browser-Erweiterungen hat Millionen Nutzer von Google Chrome und Microsoft Edge getroffen. Chinesische Akteure gingen hierbei mit langfristiger Planung vor, um viele Opfer zu generieren.

Addons über Jahre positioniert

Wie das Sicherheitsunternehmen Koi berichtet, infiltrierte eine mutmaßlich chinesische Hackergruppe namens ShadyPanda im Laufe von sieben Jahren insgesamt rund 4,3 Millionen Rechner über zunächst unauffällige Add-ons. Die Angreifer setzten dabei auf einen besonders perfiden Ansatz: Zunächst veröffentlichten sie scheinbar harmlose Produktivitätswerkzeuge, sammelten über Jahre hinweg hohen Zuspruch, positive Bewertungen und Millionen Installationen - und spielten erst später schädliche Updates ein.

Da die großen Plattformen Erweiterungen hauptsächlich bei der erstmaligen Einreichung prüfen, konnten die manipulierten Versionen weitgehend unbemerkt verteilt werden. Selbst Add-ons mit "Featured"- oder "Verified"-Status verwandelten sich so von praktischen Helfern in Spionagewerkzeuge. Laut Koi war keinerlei Phishing oder Täuschung nötig - allein das Vertrauen in etablierte Erweiterungen reichte aus, um umfassende Überwachungssysteme auf Millionen Browsern zu installieren.


Mindestens fünf Erweiterungen des Netzwerks sollen noch immer im Edge-Store verfügbar sein und zusammen mehr als vier Millionen Installationen zählen. Zwei davon enthalten nach Angaben der Forscher bereits aktive Spionagefunktionen. Eine der problematischen Erweiterungen, WeTab, soll allein über drei Millionen Nutzer haben und umfangreiche Daten in Echtzeit an mehrere Server in China sowie an Google Analytics übertragen.

Mehrere Addons noch aktiv

Ein weiteres Beispiel ist die Chrome- und Edge-Erweiterung "Clean Master" des Anbieters Starlab Technology. Sie wurde zwischen 2018 und 2019 veröffentlicht, erhielt offizielle Gütesiegel und sammelte über 200.000 Installationen. Im Sommer 2024 verteilte ShadyPanda dann ein Update, das eine Fernzugriffsschnittstelle nachrüstete. Obwohl die betroffenen Erweiterungen inzwischen aus den Stores entfernt wurden, warnt Koi, dass die Infrastruktur für weitergehende Angriffe weiterhin aktiv sei.

Die Schadsoftware erlaubt es, beliebige JavaScript-Dateien nachzuladen, Webseiteninhalte zu manipulieren und das komplette Surfverhalten zu protokollieren. Zudem verfügt sie über Mechanismen, die Forscher austricksen sollen, indem sie bei geöffneten Entwicklerwerkzeugen harmloses Verhalten vortäuscht. Koi sieht in den Vorfällen ein strukturelles Problem der großen Marktplätze: Einmal freigegebene Erweiterungen würden kaum noch überwacht. Dadurch könnten Angreifer jederzeit unbemerkt Updates ausrollen - mit potenziell gravierenden Folgen für Millionen Nutzer.


Siehe auch: