Erweiterungen stehlen Nutzerdaten – 108 Add-ons im Web Store

Datendiebstahl

Chrome-Erweiterungen spionieren Nutzer aus

Sicherheitsforscher haben 108 schädliche Chrome-Erweiterungen entdeckt. Sie stehlen Zugangsdaten und kapern Konten. Viele sind weiterhin verfügbar. Das können Nutzer tun.

Das Sicherheitsunternehmen Socket hat 108 schädliche Erweiterungen im Chrome Web Store von Google entdeckt. Die Programme sollen unter anderem Anmeldedaten von Google-Konten stehlen und Telegram-Chats auslesen. Zum Zeitpunkt der Veröffentlichung waren die Erweiterungen laut Socket noch im Chrome Web Store verfügbar.

Die betroffenen Add-ons sollen sich als harmlose Programme tarnen. Darunter seien Minispiele wie Slotmaschinen, Telegram-Zusatzfunktionen, YouTube- und TikTok-Werkzeuge und ein Übersetzungsprogramm. Laut dem Bericht von Socket wurden sie unter fünf verschiedenen Namen veröffentlicht, darunter Yana Project, GameGen und Rodeo Games.

Hinter allen stecke jedoch derselbe Urheber, denn alle Erweiterungen sendeten gestohlene Daten an dieselben Server. Wer genau verantwortlich sei, bleibe unklar, heißt es. Hinweise im Programmcode deuteten auf einen russischsprachigen Ursprung hin.

Insgesamt kommen die 108 Erweiterungen laut Socket auf rund 20.000 Installationen. Den Angaben zufolge greifen 54 der Programme Daten von Google-Konten ab, darunter E-Mail-Adresse, Name und Profilbild. Das geschehe über eine Anmeldefunktion, die den Nutzer zur Eingabe seiner Google-Zugangsdaten auffordert.

Das Unternehmen betont, dass die Angreifer dadurch keinen direkten Zugriff auf das Google-Konto erhalten. Die so erhaltenen Daten lassen sich jedoch für gezielte Betrugsversuche nutzen.

45 der Programme enthalten laut Socket eine versteckte Funktion, die bei jedem Browserstart eine vom Angreifer bestimmte Webadresse als neuen Tab öffnet, etwa für Werbung oder manipulierte Webseiten. Andere Erweiterungen veränderten die Darstellung besuchter Webseiten im Browser, um etwa eigene Werbung einzublenden, oder sie sollen eingegebene Texte über Server der Angreifer umleiten.

Socket hat Google nach eigenen Angaben über die schädlichen Erweiterungen informiert und deren Entfernung beantragt. Zum Zeitpunkt der Veröffentlichung des Berichts waren viele der Programme jedoch noch im Chrome Web Store abrufbar. Das Unternehmen rät Nutzern, ihre installierten Erweiterungen mit der veröffentlichten Liste abzugleichen und betroffene Programme sofort zu entfernen.