Bösartige Browser-Erweiterungen: der leise Abfluss für Zugangsdaten im Web Store
Eine Browser-Erweiterung genießt mehr Vertrauen als fast jede andere Software, die ein Nutzer installiert. Sie erhält einen festen Platz innerhalb der Sitzung, oft mit der Berechtigung, Daten auf jeder besuchten Website zu lesen und zu ändern. Genau dieses Vertrauen monetarisieren böswillige Erweiterungsautoren, und eine Reihe dokumentierter Kampagnen zeigt, wie Store-Einträge, die wie gewöhnliche Werkzeuge aussehen, stillschweigend als Abfluss für Zugangsdaten arbeiten.
Was eine Erweiterung erreichen kann
Die Reichweite bestimmt sich nach den Berechtigungen, die ein Nutzer genehmigt. Kaspersky-Forscher listen die Bandbreite auf: Cookies, Passwörter und Zahlungskartendaten aus Webformularen, Inhalte der Zwischenablage, Screenshots, sogar Tastenanschläge wie bei einem Keylogger. Echte Kampagnen passen zu dieser Liste. Socket, ein Unternehmen für Supply-Chain-Sicherheit, dokumentierte mehr als 100 bösartige Erweiterungen im Chrome Web Store im April 2026; 54 davon nutzten den Aufruf chrome.identity.getAuthToken, um Google-OAuth2-Bearer-Token zu ernten, mit denen der Betreiber im Namen des Nutzers handeln kann, und eine Erweiterung zog alle fünfzehn Sekunden Telegram-Web-Sitzungsdaten aus dem lokalen Speicher und konnte die Sitzung des Opfers durch Angreiferdaten ersetzen. Ein zweiter Eintrag, der jahrelang überlebte: Im Dezember 2025 berichtete BleepingComputer über zwei Chrome-Web-Store-Erweiterungen namens Phantom Shuttle, die für 1,4 bis 13,6 US-Dollar als Proxy-Testwerkzeuge für Nutzer in China verkauft wurden und mindestens seit 2017 aktiv sind. Die Erweiterungen leiteten mehr als 170 hochwertige Domains über vom Angreifer kontrollierte Proxys um und erfassen dabei Formulareingaben, lasen Sitzungscookies aus HTTP-Headern und extrahierten API-Token, während sie als Man-in-the-Middle agierten. Beide waren noch gelistet, als der Bericht erschien. Store-Einträge und die Loader, die sie umgehen
Die Größenordnung ist nicht marginal. Laut Kasperskys Zusammenfassung der Daten von 2020 entfernte Google 106 datendiebstahlende Chrome-Erweiterungen mit insgesamt 32 Millionen Downloads; betroffen waren Netze in Finanzen, Öl und Gas, Gesundheitswesen und Regierung. Die Socket-Kampagne zeigt, dass das Format weiterhin aktiv ist: Die Erweiterungen verbargen sich hinter fünf Publisher-Identitäten und Kategorien von Telegram-Clients bis zu Slotspielen und Video-Enhancern, und 45 von ihnen enthielten eine versteckte Startfunktion, die Befehle von Angreifer-Infrastruktur abrief. Nicht jede bösartige Erweiterung durchläuft überhaupt ein Store-Review. Trend Micros Bericht vom November 2023 zu ParaSiteSnatcher dokumentierte ein modulares, stark obfuskiertes Framework, das von einem VBScript-Downloader geliefert wurde, der auf Dropbox und Google Cloud gehostet war. Nachdem das Opfer registriert und verschleierte Command-and-Control-URLs abgerufen waren, löschte der Installer die Browser-Verknüpfungen und erzeugte neue, die die Erweiterung laden, und zementierte so die Persistenz. Die Erweiterung fing POST-Anfragen mit Kontodaten ab, bevor sie den Browser verließen, überwachte Kontostände, manipulierte PIX-Transaktionen bei brasilianischen Banken und stahl Cookies, darunter Microsoft-live.com-Cookies, die für Pass-the-Cookie-Angriffe gegen Cloud-Konten brauchbar sind. Die Review-Lücke: Die Prüfung gilt für den Upload, nicht für die Zukunft
Das Store-Review untersucht das Paket, das ein Entwickler hochlädt. Es kann nicht untersuchen, was dieselbe Erweiterung Monate später tut. Kaspersky weist darauf hin, dass Erweiterungen Auto-Updates erhalten, sodass auch ein legitimes Add-on nachträglich bösartig werden kann: Die Erweiterung Particle wurde verkauft und auf die Injektion von Werbung umgestellt und erreichte mehr als 30.000 Nutzer, bevor sie gestoppt wurde. Remote gehosteter Code geht noch weiter, denn ein Paket, das seine eigentliche Logik zur Laufzeit von einem Server bezieht, ist in der Praxis unprüfbar. Manifest V3 ist Googles strukturelle Antwort: Erweiterungen müssen den gesamten Code, den sie ausführen, im geprüften Paket bündeln, und remote gehosteter Code, JavaScript oder WebAssembly, das von außerhalb geladen wird, wird abgelehnt, einschließlich toter Codepfade, die ihn laden könnten. Die Begründung ist genau das Problem nach der Freigabe: Code, der sich nach dem Review ändern kann, unterläuft das Review. Die Ausnahmen sind eng, sie betreffen User-Skript-Manager, die Debugger-Schnittstelle und sandboxed iframes. Der Socket-Befund, dass 45 Erweiterungen Laufzeitbefehle von einem zentralen Server abriefen, zeigt das Verhalten, gegen das die Regel gerichtet ist, und warum die Prüfung des Eintrags allein sie verfehlt. Praktische Verteidigung
Die Routine ist unspektakulär. Prüfen Sie die Liste der installierten Erweiterungen regelmäßig und entfernen Sie alles Unbekannte oder Ungenutzte; Socket veröffentlichte die Erweiterungs-IDs seiner Kampagne, damit Nutzer ihre eigene Liste mit bekannten schädlichen Einträgen abgleichen können. Halten Sie die Gesamtzahl niedrig, denn jede Installation ist eine dauerhafte Berechtigung, die sich stillschweigend erneuert. Bewerten Sie Permission-Creep als Warnsignal, Kasperskys Beispiel ist ein Taschenrechner, der Standort oder Browserverlauf anfordert. Bevorzugen Sie Erweiterungen mit stabilem Publisher und einem kleinen, erklärbaren Berechtigungssatz statt dessen, was in der Store-Suche oben steht. Schaffen Sie Trennung: Ein separates Browser-Profil für Banking und Kontoverwaltung begrenzt, was ein einzelnes Add-on erreichen kann, und dieselbe Logik bringt Unternehmen dazu, Store-Erweiterungen auf verwalteten Geräten zu blockieren oder verbindlich vorzugeben. Der Preis ist die authentifizierte Sitzung, dasselbe Ziel, das mobile Banking-Trojaner wie ToxicPanda verfolgen, nur von innen im Browser statt durch ein Overlay auf dem Bildschirm. Eine Erweiterung verlangt weniger Aufmerksamkeit als eine Phishing-E-Mail und zahlt für den Betreiber ähnlich gut. Die dokumentierten Kampagnen unterscheiden sich in der Zustellung, ob Store-Eintrag, Auto-Update, Dropper und Verknüpfung, doch die Form ist dieselbe: Liste erhalten, Vertrauen gewinnen, warten, dann Zugangsdaten aus einer Position abziehen, die der Nutzer nie sieht.
