Über hundert schädliche Erweiterungen im Chrome Web Store entdeckt

Mehr als 100 schädliche Erweiterungen wurden bei einer aktuellen Untersuchung im offiziellen Chrome Web Store aufgespürt. Diese versuchen sensible Nutzerdaten zu stehlen, Konten zu übernehmen und Werbebetrug zu betreiben.

Nutzer werden ausspioniert

Durchgeführt wurde die Analyse durch das Sicherheitsunternehmen Socket. Dieses belegt damit einmal mehr, dass die internen Prüfprozesse Googles schlicht nicht ausreichen, um die Nutzer der Plattform vor Kriminellen zu schützen. Die betroffenen Add-ons sind den Erkenntnissen zufolge Teil einer koordinierten Kampagne mit gemeinsamer Steuerungsinfrastruktur.

Den Forschern zufolge wurden die Erweiterungen unter fünf unterschiedlichen Entwickleridentitäten veröffentlicht und in verschiedenen Kategorien platziert. Dazu zählen unter anderem angebliche Tools für Telegram-Seitenleisten, Glücksspiel-Simulationen wie Slotmaschinen oder Keno, Erweiterungen zur Verbesserung von YouTube- und TikTok-Inhalten sowie Übersetzungs- und Utility-Programme. Ziel sei es, möglichst viele Nutzer zur Installation zu bewegen.


Im Zentrum der Kampagne steht eine zentrale Server-Infrastruktur, die über einen virtuellen Server des Hosting-Anbieters Contabo betrieben wird. Von dort aus werden verschiedene schädliche Aktivitäten gesteuert, darunter das Kapern von Sitzungen, das Sammeln von Identitätsdaten sowie die Ausführung von Befehlen auf den betroffenen Geräten.

Google reagiert schleppend

Besonders kritisch ist laut dem Bericht das Auslesen von OAuth2-Bearer-Tokens. Diese Zugriffstokens erlauben Anwendungen, im Namen eines Nutzers auf dessen Daten zuzugreifen. In Kombination mit weiteren abgegriffenen Informationen wie E-Mail-Adresse, Profilbild und Kontonummer können Angreifer so einen umfassenden Zugriff auf Google-Konten erlangen.

Ein Teil der Erweiterungen manipuliert zudem aktiv die Benutzeroberfläche des Browsers, indem schädlicher Code eingeschleust wird. Andere Varianten verfügen über versteckte Funktionen, die beim Start des Browsers automatisch aktiviert werden und ohne Zutun des Nutzers Befehle vom Kontrollserver abrufen.

Besonders alarmierend ist ein Fall, bei dem eine Erweiterung gezielt Sitzungen von Telegram Web ausliest und sie sogar austauschen kann. Dadurch könnten Angreifer unbemerkt die Kontrolle über fremde Accounts übernehmen. Hinweise im Programmcode deuten laut den Sicherheitsforschern auf eine russischsprachige Malware-as-a-Service-Struktur hin. Trotz der Meldung an Google waren viele der schädlichen Erweiterungen jüngst weiterhin im Chrome Web Store verfügbar.


Siehe auch: