Eine neue Malware-Kampagne nutzt das Vertrauen aus, das Nutzer einem bekannten Namen entgegenbringen. Sicherheitsforscher haben einen gefälschten CCleaner-Download identifiziert, der GhostDesk installiert, eine bösartige Chrome-Erweiterung, die darauf ausgelegt ist, unbemerkt Cookies, gespeicherte Zugangsdaten, Tastatureingaben und Screenshots von infizierten Windows-Rechnern zu sammeln. Die Kampagne erinnert daran, dass selbst bekannte Dienstprogramme als Waffe eingesetzt werden können, wenn Angreifer die Download-Quelle kontrollieren.

Was passiert ist: Die gefälschte CCleaner-Kampagne

CCleaner ist ein weit verbreitetes Tool zum Löschen temporärer Dateien und zur Optimierung der Windows-Leistung, was es zu einem attraktiven Köder für Cyberkriminelle macht. In diesem Fall haben die Angreifer GhostDesk in ein Installationsprogramm verpackt, das wie ein legitimer CCleaner-Download aussehen soll. Sobald ein Nutzer die Datei ausführt, setzt die Malware eine Chrome-Erweiterung ein, die im Hintergrund arbeitet und dem Angreifer einen dauerhaften Zugang innerhalb des Browsers verschafft – nicht nur innerhalb des Betriebssystems.

Durch den direkten Angriff auf den Browser erhält GhostDesk Zugriff auf einige der sensibelsten Daten, die ein Mensch online erzeugt: in Cookies gespeicherte Anmeldesitzungen, im Browser gespeicherte Benutzernamen und Passwörter und sogar Aktivitäten in Echtzeit, die über Tastatureingaben und Screenshots erfasst werden. Diese Kombination ermöglicht es einem Angreifer, Passwortfelder möglicherweise vollständig zu umgehen, indem er aktive Sitzungen kapert, und sich im Laufe der Zeit ein detailliertes Bild vom Online-Verhalten eines Opfers zu machen.

Wie GhostDesk in Chrome agiert

Bösartige Browser-Erweiterungen sind besonders effektiv, weil sie mit erweitertem Zugriff auf alles laufen, was der Nutzer im Browser tut, oft ohne dieselben Alarme auszulösen wie herkömmliche Desktop-Malware. Sobald GhostDesk installiert ist, muss es nicht ständig mit einem Command-and-Control-Server kommunizieren, um gefährlich zu sein. Stattdessen kann es passiv Daten sammeln, während der Nutzer surft, Bankgeschäfte erledigt, einkauft oder sich bei Arbeitskonten anmeldet, und diese Informationen dann in Abständen exfiltrieren.

Cookie-Diebstahl ist besonders besorgniserregend, weil ein gestohlenes Sitzungscookie es einem Angreifer ermöglichen kann, sich als angemeldeter Nutzer auszugeben, ohne jemals dessen Passwort zu benötigen. In Kombination mit Tastaturprotokollierung und Screenshot-Erfassung kann GhostDesk Zugangsdaten für Konten erfassen, die direkt in eine Webseite eingegebene Multi-Faktor-Authentifizierungscodes verwenden, da die Malware den Code bei der Eingabe beobachten kann, statt ihn separat abfangen zu müssen.

Warum Browser-Erweiterungen ein wachsendes Datenschutzrisiko darstellen

Dieser Vorfall passt in ein breiteres Muster, bei dem der Browser und nicht das Betriebssystem zum Hauptschlachtfeld für Datendiebstahl geworden ist. Browser speichern inzwischen Passwörter, Zahlungsinformationen, Browserverlauf und aktive Sitzungen für Dutzende Dienste gleichzeitig, was sie zu einem hochwertigen Ziel macht. Erweiterungen können sich insbesondere der oberflächlichen Prüfung entziehen, weil Nutzer es gewohnt sind, ihnen umfassende Berechtigungen zu erteilen, um das Surfen zu „verbessern“, ohne immer zu prüfen, woher die Erweiterung tatsächlich stammt oder was sie im Hintergrund tut.

Der gefälschte CCleaner-Fall verdeutlicht auch, wie Angreifer weiterhin auf vertraute Softwarenamen setzen statt auf unbekannte oder ungewohnte Programme, um die Wahrscheinlichkeit zu erhöhen, dass ein Opfer die Datei ohne Zögern herunterlädt und ausführt. Da sich die Verbreitung alltäglicher Software zunehmend auf Suchmaschinenergebnisse und Download-Portale von Drittanbietern verlagert, wächst das Risiko, auf eine überzeugende Fälschung zu stoßen. Dies ist Teil eines größeren Trends, bei dem Angreifer schädliche Werkzeuge rund um legitime Technologie-Ökosysteme positionieren – ähnlich wie staatliche Akteure versucht haben, den Zugang zu neuen Technologien wie der Open-Source-KI-Entwicklung für ihre eigenen strategischen Zwecke zu gestalten und zu kontrollieren.

Was das für Sie bedeutet

Wenn Sie CCleaner kürzlich von einer anderen Quelle als der offiziellen Anbieterseite heruntergeladen haben, lohnt es sich, Ihre installierten Chrome-Erweiterungen auf alles Unbekannte zu überprüfen und den Chrome-Task-Manager auf Prozesse zu prüfen, die Sie nicht erkennen. Da GhostDesk auf Cookies und gespeicherte Zugangsdaten abzielt, sollte jeder, der eine Infektion vermutet, seine im Browser gespeicherten Passwörter und aktiven Sitzungen als potenziell kompromittiert behandeln, nicht nur sein Betriebssystem.

Die praktische Lehre geht über diese einzelne Kampagne hinaus. Kostenlose Dienstprogramme, insbesondere Tools, die versprechen, einen PC zu „beschleunigen“ oder zu „bereinigen“, sind eine beständig beliebte Tarnung für Malware, weil sie Nutzer ansprechen, die eine schnelle Lösung suchen. Software nur von offiziellen Anbieter-Websites herunterzuladen, statt über Suchanzeigen oder Aggregator-Seiten Dritter, bleibt eine der einfachsten Möglichkeiten, diese Art von Angriffen vollständig zu vermeiden.

Umsetzbare Maßnahmen

Überprüfen Sie Ihre installierten Chrome-Erweiterungen und entfernen Sie alles, was Sie nicht erkennen oder nicht absichtlich installiert haben. Laden Sie CCleaner oder andere Dienstprogramme nur direkt von der offiziellen Website des Herausgebers herunter, nicht über Suchergebnisse oder Download-Portale von Drittanbietern. Ändern Sie Passwörter für sensible Konten, wenn Sie vermuten, dass Ihr Browser kompromittiert wurde, und erwägen Sie die Verwendung eines Passwort-Managers, der von der browserbasierten Speicherung getrennt ist. Führen Sie einen vollständigen Viren- oder Anti-Malware-Scan auf jedem Windows-Rechner aus, auf dem ein kürzlich erfolgter Download verdächtig erschien, und aktivieren Sie nach Möglichkeit die Multi-Faktor-Authentifizierung mit einer Authentifizierungs-App statt eines auf dem Bildschirm eingegebenen Codes. Wachsam zu bleiben, wie sich die GhostDesk-Chrome-Spyware über gefälschte Installationsprogramme verbreitet, ist eine der wirksamsten Verteidigungsmaßnahmen, die normalen Nutzern zur Verfügung stehen.