Bösartige Chrome-Extensions schnüffeln mehr als 13 Mio. Nutzer aus

Welche versteckten Gefahren bergen scheinbar nützliche Chrome-Erweiterungen? Rund 13,4 Millionen Nutzer haben unwissentlich manipulierte Programme installiert. Wie Betreiber so den Suchverlauf erfassen können, zeigt eine neue Analyse.

Versteckte Abzocke im Browser

Rund 13,4 Millionen Anwender sind von Browser-Manipulationen durch 319 Erweiterungen für Google Chrome betroffen. Die Programme leiten Suchanfragen über fremde Server zu Yahoo und Bing um. Die Erweiterungen tarnen sich als PDF-Werkzeuge, Handbuch-Suchfunktionen, Sicherheitsprogramme oder KI-Suchprodukte.

Verbreitet werden sie vor allem über irreführende Werbeanzeigen auf Webseiten. Die Banner führen zu Seiten, die zur Installation auffordern. Im offiziellen Chrome Web Store ist der Großteil der Erweiterungen ungelistet und über die Suche nicht auffindbar. Die Programme benötigen kaum eigenen Code. Sie nutzen eine integrierte Browser-Funktion, um die Standardsuchmaschine auszutauschen.


Wie CyberNews berichtet, haben Sicherheitsforscher des Unternehmens Socket die Aktivitäten über zehn Jahre zurückverfolgt. Dazu werteten sie Erweiterungslisten, Zielseiten, Datenschutzerklärungen und Werbedaten aus. Zudem nutzten sie die Analysedienste Censys, urlscan und DecryptAds. Dabei identifizierten sie organisierte Gruppen. So betrieb das Unternehmen Intango LTD 111 Erweiterungen mit rund 2,2 Millionen Installationen.

Gefahr durch Server-Umleitung

Einige Programme sind besonders einfach aufgebaut. Die Erweiterung Safe Game Search besteht nur aus einer Manifest-Datei und drei Symbolen. Sie hat weder Hintergrundprozesse noch Skripte oder eine Benutzeroberfläche und fordert keine Berechtigungen an. Bei der Installation erscheint zwar ein Hinweis auf die geänderte Suchmaschine. Wohin die Anfragen tatsächlich gelangen, bleibt laut Socket jedoch unklar.

Da sämtliche Sucheingaben über einen Proxy-Server der Betreiber laufen, können diese den vollständigen Suchverlauf erfassen. Die Server legen das Ziel für jede Anfrage neu fest. Bei Tests mit Predator Search, einer Erweiterung mit 50.000 Nutzern, führten sechs identische Suchanfragen zu vier verschiedenen Zielen. Darunter war eine Fehlerseite von Cloudflare. Infografik Faktencheck: Deutsche sind online vergleichsweise gutgläubig Direkte Weiterleitungen zu Schadsoftware beobachteten die Forscher bislang nicht. Die Betreiber könnten die Zieladressen ihrer Einschätzung nach jedoch jederzeit serverseitig ändern und Nutzer auf Phishing-Seiten oder zu schädlichen Downloads führen. Als Einnahmequelle dienen die Such-Syndizierungsprogramme von Microsoft und Yahoo, die Partner für vermittelten Datenverkehr bezahlen.

Schutzmaßnahmen für Nutzer

Nutzer sollten ihre installierten Chrome-Erweiterungen prüfen und unbekannte Programme entfernen. Vorsicht ist geboten, wenn eine Software bei der Installation die Standardsuchmaschine ändern will. Nach dem Entfernen verdächtiger Erweiterungen sollten Nutzer die Suchmaschinen-Einstellungen kontrollieren und das System vollständig mit einem Antivirenprogramm scannen. Viele der identifizierten Erweiterungen wurden den Forschern zufolge inzwischen entfernt.

Habt ihr schon einmal ähnliche Erfahrungen mit unerwünschten Browser-Erweiterungen gemacht? Teilt eure Erlebnisse gerne mit uns in den Kommentaren!

Download Google Chrome - Schneller und sicherer Browser Siehe auch: