Bösartige Chrome-Erweiterungen beim Stehlen von Krypto-Daten erwischt

Was die bösartigen Erweiterungen taten

Sicherheitsforscher haben ein koordiniertes Malware-Framework entdeckt, das in mehreren Browser-Erweiterungen für Google Chrome und Microsoft Edge versteckt war. Anstatt eine einzelne bösartige Aktion auszuführen, arbeitete das Framework in Modulen, sodass Angreifer je nachdem, was sie von einem Opfergerät extrahieren wollten, remote verschiedene Fähigkeiten bereitstellen konnten.

Den Erkenntnissen zufolge war das Malware-Framework in der Lage, Kryptowährungen zu stehlen, sensible persönliche Daten zu ernten und unbemerkt den Browserverlauf zu kopieren. Es injizierte außerdem sogenannte ClickFix-Köder, eine Social-Engineering-Technik, die Nutzer dazu verleitet, bösartige Befehle in ihr System einzufügen oder Skripte unter dem Vorwand auszuführen, ein technisches Problem zu beheben. Zusammen ergaben diese Fähigkeiten ein flexibles Toolkit für Angreifer: finanzielle Diebstähle über Krypto-Wallets, Überwachung durch Verlaufs- und Datenprotokollierung sowie weitere Kompromittierung durch ClickFix-artige Täuschung.

Genau das macht die Entdeckung bemerkenswert. Es handelte sich nicht um eine einzelne Schurken-Erweiterung mit einer schlechten Funktion. Es war Infrastruktur, die für Updates und Zweckänderungen ausgelegt war, was bedeutet, dass dieselben Erweiterungen im Laufe der Zeit für verschiedene Angriffe hätten genutzt werden können, ohne dass Nutzer jemals eine Verhaltensänderung bemerkt hätten.

Warum die Prüfung des Chrome Web Store diese Bedrohungen immer wieder übersieht

Browser-Erweiterungsmarktplätze haben ein anhaltendes Problem: Bösartiger Code wird oft erst eingeführt oder aktiviert, nachdem eine Erweiterung die Prüfung bestanden und das Vertrauen der Nutzer gewonnen hat. Eine Erweiterung könnte beim Start exakt wie beworben funktionieren, nur um später ein Update zu erhalten, das leise Datendiebstahl-Module hinzufügt. Da Erweiterungen typischerweise im Voraus umfangreiche Berechtigungen anfordern (zum Beispiel zum Lesen und Ändern von Daten auf Websites, die Sie besuchen), haben Nutzer nach der Installation kaum Einblick in das, was eine Erweiterung tatsächlich tut.

Dieser Vorfall ist kein Einzelfall. Chrome und Edge haben bereits früher mit ähnlichen Problemen zu kämpfen gehabt. In einem vielbeachteten Fall wurde eine Browser-Erweiterung, der mehr als 1,6 Millionen Nutzer vertrauten entfernt, nachdem Forscher festgestellt hatten, dass sie mit Spyware gebündelt war. In einem anderen Fall konstruierten Angreifer eine nachgeahmte Version eines beliebten Bereinigungstools, die Chrome stillschweigend für Spionagezwecke patchte. Das Muster ist konsistent: Vertrautheit und eine installierte Nutzerbasis werden zur Angriffsfläche – nicht die Schwachstelle selbst.

Was das für Sie bedeutet: Überprüfen und Entfernen riskanter Erweiterungen

Wenn Sie Chrome oder Edge verwenden, ist diese Nachricht eine Erinnerung daran, Browser-Erweiterungen mit derselben Sorgfalt zu behandeln, die Sie jeder Software mit Zugriff auf Ihre Konten und Finanzinstrumente entgegenbringen würden. Ein paar praktische Schritte können Ihre Gefährdung spürbar reduzieren.

Beginnen Sie damit, den Erweiterungsmanager Ihres Browsers zu öffnen und jeden installierten Eintrag zu überprüfen – nicht nur die, an deren Installation Sie sich erinnern. Fragen Sie sich, ob Sie jede Erweiterung noch nutzen und ob sie die gewährten Berechtigungen wirklich benötigt. Erweiterungen, die Zugriff auf „alle Daten auf allen Websites lesen und ändern“ anfordern, verdienen besondere Aufmerksamkeit, insbesondere wenn sie seit längerem kein Update erhalten haben oder die Entwicklerinformationen vage oder unbekannt wirken.

Wenn Sie Kryptowährungs-Wallet-Browsererweiterungen installiert haben, prüfen Sie Ihre Wallet-Aktivität und Transaktionshistorie auf nicht autorisierte Vorgänge. Erwägen Sie, größere Krypto-Bestände auf Hardware-Wallets zu verlagern, die private Schlüssel niemals browserbasierter Software aussetzen. Und wenn Sie kürzlich einer Eingabeaufforderung gefolgt sind, die Sie bat, einen Befehl in ein Terminal einzufügen oder ein Skript auszuführen, um ein Browserproblem zu „beheben“, behandeln Sie das als Warnsignal und nicht als Fehlerbehebungsschritt, da dieses Verhalten die in dieser Kampagne beschriebene ClickFix-Technik widerspiegelt.

Verteidigung in Schichten: Passwortmanager, Erweiterungshygiene und VPN-Nutzung

Kein einzelnes Werkzeug beseitigt das Risiko durch bösartige Erweiterungen vollständig, aber verteidigung in Schichten macht einen echten Unterschied. Ein seriöser Passwortmanager wie Dashlane kann den Schaden begrenzen, wenn Anmeldedaten kompromittiert werden, indem er pro Website eindeutige, starke Passwörter speichert und Sie über kompromittierte Anmeldungen informiert – anstatt sich auf im Browser gespeicherte Passwörter zu verlassen, auf die bösartige Erweiterungen möglicherweise zugreifen können.

Darüber hinaus ist gute Erweiterungshygiene wichtiger als jedes einzelne Sicherheitsprodukt. Installieren Sie Erweiterungen nur von Entwicklern, die Sie kennen, überprüfen Sie Berechtigungen, bevor Sie Updates akzeptieren, und entfernen Sie regelmäßig alles, was Sie nicht mehr verwenden. Ein VPN stoppt eine bösartige Erweiterung nicht daran, Daten in Ihrem Browser zu lesen, aber es bietet eine zusätzliche Schutzschicht für Ihren Netzwerkverkehr und kann helfen, Ihre Aktivitäten vor umfassenderem Tracking zu verschleiern – nützlich als Teil einer breiteren Datenschutzstrategie und nicht als eigenständige Lösung.

Wichtigste Erkenntnisse

Die Entdeckung eines Malware-Frameworks, das über Chrome- und Edge-Erweiterungen operiert, unterstreicht ein wiederkehrendes Thema in der Browsersicherheit: Das Vertrauen in eine Erweiterung heute garantiert keine Sicherheit morgen. Kampagnen zum Diebstahl von Krypto-Daten durch bösartige Chrome-Erweiterungen gelingen genau deshalb, weil Updates lange nach der Installation stillschweigend neue Fähigkeiten einführen können.

Nehmen Sie sich diese Woche ein paar Minuten Zeit, um Ihre installierten Erweiterungen zu prüfen, alles Unnötige zu entfernen und Ihre Krypto-Wallet-Aktivität auf Anomalien zu überprüfen. Kombinieren Sie diese Gewohnheit mit einem Passwortmanager und einer allgemeinen Skepsis gegenüber jeder Eingabeaufforderung, die Sie bittet, unbekannte Befehle auszuführen. Diese kleinen, konsequenten Schritte sind weitaus effektiver, als erst zu reagieren, wenn der Schaden bereits eingetreten ist.