Studie untersucht Chrome-Erweiterungen und findet viel Malware

Meldungen über Google Chrome Erweiterungen, die neben ihrer angepriesenen Funktion noch Schadcode mitbringen und die Nutzer ausspähen, sind nach den jüngsten Änderungen für die Pflichtinstallation der Google Extensions über den Web Store nahezu verschwunden. Komplett verschwunden sind sie noch nicht, aber man hört wenig. Das aber noch lange nicht Entwarnung gegeben werde kann, macht jetzt eine Untersuchung einer Gruppe Sicherheitsforscher deutlich. Rund ein Zehntel der von ihnen untersuchten 48.000 Erweiterungen für den Webbrowser Chrome weist auffälliges Verhalten auf, unterstreicht der Co-Autor der Studie, Chris Grier von der Berkeley University of California in einem Gespräch mit Computer World.

130 Mal Malware und 4.712 bösartige Mitbringsel

Einige Erweiterungen beherbergen sehr gut versteckte und dabei sehr schlechte Verhaltensweisen. Dazu gehörten 130 Extensions mit Malware, und 4.712 Erweiterungen, die Affiliate- und allgemeine Werbe-Betrügereien mitbringen, also zum Beispiel Affiliate- und Partnerlinks jeder Art durch eigene Codes ersetzen oder ganze Banner-Werbungen austauschen und sich so Einnahmen erschleichen. Oder Berechtigungs-Diebstähle, bei denen Logins zurückgesetzt und Accountdaten an fremde Server übermittelt werden. Auch Erweiterungen, die Links über soziale Netzwerke verbreiten, sobald man sich in einem Network im Webbrowser einloggt, gehören dazu.

Kein Nutzer würde die Extensions installieren, würde er davon wissen. Aber Googles System ist noch lange nicht so weit, die Qualität jeder einzelnen übermittelten Extension zu überprüfen. Zwar sind seit einiger Zeit nur noch Erweiterungen über den Chrome Web Store möglich, aber auch dort haben es Betrüger einfach, böswillige Software einzuschleusen.

Hulk testet sie alle

Alexandros Kapravelos, Doktorand an der University of California in Santa Barbara, erläuterte bei Computer World das System, das genutzt wird, um die böswilligen Erweiterungen zu entlarven. Sein Team hat einen Check mit dem Namen Hulk entwickelt. Um die Erweiterung zu prüfen, wird eine spezielle Webseite aufgerufen, die verschiedene Parameter überprüft - beispielsweise ausgehende Verbindungen oder zusätzlich installierte Pakete. Hulk beobachtet das Verhalten von Extensions und kann so rechtzeitig eine Warnung ausgeben. Die Webseiten, die die Extensions prüfen können, nennt das Team übrigens HoneyPages, in Anspielung auf einen Honigtopf, der die Bienen anlockt. Angelockt werden bei Hulk allerdings die bösartigen Erweiterungen.

Das Team stellt seine Untersuchung und das genutzte System beim Usenix Security Symposium in San Diego vor. Die Untersuchung geschah in enger Zusammenarbeit mit Google. Es bleibt daher zu hoffen, dass sich Google mit den Hulk-Entwicklern einigen wird, um die Überprüfung selbst vor Freigabe einer Erweiterung genauer vorzunehmen.

· PDF mit den Ergbnissen der Untersuchung