Bösartige Browser-Erweiterungen:
GhostPoster nicht zu stoppen

Sicherheitsforscher haben eine neue Welle bösartiger Browser-Er­wei­te­run­gen entdeckt, die Teil der sogenannten GhostPoster-Kam­pagne sind. Insgesamt 17 Erweiterungen für Chrome, Firefox und Edge wurden erneut identifiziert.

Hunderttausende Installationen

Sie wurden laut der Analyse bereits rund 840.000 Mal installiert. Damit zeigt sich, dass die Angriffe weiterhin aktiv sind, obwohl die zugrundeliegende Kampagne bereits im Dezember erstmals öffentlich bekannt wurde. Damals hatten Sicherheitsforscher von Koi Security herausgefunden, dass GhostPoster-Entwickler JavaScript-Schadcode in den Logo-Bildern der Erweiterungen versteckten.

Das unauffällige Vorgehen ermöglichte es den Angreifern, das Surfverhalten der Nutzer zu beobachten und eine Hintertür zu installieren. Die Schadsoftware lud zusätzlich ein stark verschleiertes Skript von externen Servern nach, das mehrere Zwecke erfüllte: Es manipulierte Affiliate-Links auf bekannten Shopping-Plattformen, um Provisionen umzuleiten, und es setzte unsichtbare iFrames ein, die für Werbebetrug und Click-Fraud genutzt wurden.


Ein neuer Bericht der Sicherheitsfirma LayerX zeigt nun, dass die Attacke nicht nur fortgeführt wird, sondern technisch weiterentwickelt wurde. Besonders auffällig ist eine Variante in der Erweiterung "Instagram Downloader", die eine ausgefeiltere Form des Schadcodes nutzt. Dabei wird die eigentliche Aktivierungslogik in das Hintergrundskript der Erweiterung verlagert.

Gut getarnt

Statt nur ein Icon zu missbrauchen, wird ein größeres Bildpaket als Tarnbehälter für den eingebetteten Code verwendet. Zur Laufzeit durchsucht das Skript die Rohdaten des Bildes nach einem markanten Trennzeichen, extrahiert den versteckten Inhalt, speichert ihn lokal und entschlüsselt ihn anschließend per Base64, bevor er als JavaScript ausgeführt wird. Laut LayerX deutet diese stufenweise Struktur auf eine zunehmende Modularität, Langlebigkeit und Tarnfähigkeit hin, sowohl gegenüber statischen Analysen als auch gegenüber verhaltensbasierten Erkennungsmethoden.

Sorgen bereitet den Sicherheitsforschern auch die Tatsache, dass einige der inzwischen entdeckten Erweiterungen bereits seit 2020 in offiziellen Add-On-Stores verfügbar waren. Das unterstreicht, wie lange die Täter unbemerkt agieren konnten. Zwar wurden die betroffenen Erweiterungen inzwischen aus den Stores von Mozilla, Microsoft und Google entfernt. Nutzer, die sie bereits installiert haben, bleiben jedoch weiterhin gefährdet und sollten ihre Browser dringend überprüfen. Hier ist eine Liste aller gefundenen Erweiterungen, die Malware mitbringen:



Siehe auch: