119 Edge versprachen nützliche Tools, stattdessen wurde Malware heruntergeladen

Microsoft hat 119 Erweiterungen aus dem Edge -Store entfernt, die alle mit einer Adware-Kampagne in Verbindung standen.

In einem Artikel mit dem Titel„Inside StegoAd: How We Disrupted a Massive Malicious Extension Campaign“ beschreiben Microsoft-Forscher detailliert, wie sie eine ausgeklügelte Malware-Kampagne aufgedeckt und zerschlagen haben, bei der Browser-Erweiterungen missbraucht wurden, um Nutzer zu infizieren. Nach Angaben von Microsoft umfasste die Kampagne 119 schädliche Browser-Erweiterungen, die von 2,6 Millionen Nutzern heruntergeladen wurden.

Die Erweiterungen versprachen alle eine gewisse Grundfunktionalität – und hielten dieses Versprechen auch ein: Werbeblocker, VPNs, Übersetzer, Video-Downloader, Rechner, Gutschein-Erweiterungen und so weiter. Doch nach einer Weile entpuppten sie sich als„Schläfer“und begannen heimlich, zusätzliche Malware herunterzuladen.

Zu der Nutzlast gehörten Malware, die für Werbebetrug genutzt wurde, aber auch Erweiterungen, die beliebiges, vom Server übermitteltes JavaScript ausführten. Diese stahlen bei der Anmeldung Google-Anmeldedaten und Zwei-Faktor-Codes, sammelten WordPress-Admin-Anmeldedaten und exfiltrierten Cookies in großem Umfang, um Sitzungen zu kapern.

Der Name der Kampagne „StegoAd“ leitet sich von den Begriffen „Werbung“ und „Steganografie“ ab, womit Techniken gemeint sind, Geheimnisse in etwas zu verbergen, das auf den ersten Blick keinen Verdacht erregt. In diesem Fall geht es darum, Code in Bildern zu verstecken.

Und die Cyberkriminellen versuchten nicht nur, unter dem Radar zu bleiben, indem sie eine gewisse Zeit abwarteten und Schadcode in Bildern versteckten, sondern ließen auch einige Opfer in Ruhe. Einige der Erweiterungen verhielten sich nur bei etwa 10 % der Installationen bösartig und führten tatsächlich die nächste Stufe der Malware aus, während die anderen ~90 % unberührt blieben (zumindest bei diesem Ausführungsversuch). In einigen Fällen verwendeten sie zudem die Namen bekannter, legitimer Erweiterungen, um zusätzliches Vertrauen zu schaffen.

Browser-Erweiterungen sind eine wahre Goldgrube für Cyberkriminelle, denn sie lassen sich mit der Installation eines kleinen Programms vergleichen, das sich in Ihrem Browser einnistet und alles, was Sie im Internet tun, beobachten und melden kann.

Ich höre schon, wie einige von euch denken: „Ich nutze Edge gar nicht.“ Oder: „Ich habe ihn nur einmal benutzt, um meinen Lieblingsbrowser herunterzuladen und zu installieren.“ Doch obwohl Microsoft diese Kampagne aufgedeckt und analysiert hat, lassen sich die dabei verwendeten Techniken generell auf Chromium-basierte Browser anwenden.

Bei dieser Kampagne ging es weniger darum, eine Browser-Sicherheitslücke auszunutzen, als vielmehr darum, Nutzer dazu zu verleiten, eine vertrauenswürdig wirkende Erweiterung zu installieren, und anschließend mithilfe ausgefeilter Verschleierungstechniken lange genug unentdeckt zu bleiben, um Systeme zu kompromittieren.

Wie man sicher bleibt

Seien Sie beim Herunterladen von Erweiterungen stets vorsichtig, auch wenn diese aus seriösen App-Stores stammen. Wie wir bereits mehrfach gesehen haben, gelingt es Kriminellen, ihre Apps oder Erweiterungen in die Listen aufzunehmen, obwohl diese nur ein Update davon entfernt sind, zu Malware zu werden. Vergewissern Sie sich daher, dass Sie dem Entwickler vertrauen, und verlassen Sie sich nicht allein auf Bewertungen.

Verwenden Sie eine aktuelle Echtzeit-Sicherheitslösung, um schädliche Erweiterungen auf Ihrem Gerät zu erkennen und zu entfernen sowie Verbindungen zu schädlichen Domains und IP-Adressen zu blockieren. Entfernen Sie die bekannten schädlichen Erweiterungen aus Ihrem Browser. Nachfolgend finden Sie eine alphabetische Liste der schädlichen Erweiterungen, die die Forscher anhand ihrer Namen identifiziert haben.

Bitte beachten Sie, dass es möglicherweise mehrere Erweiterungen mit demselben Namen gibt. Falls Sie sich nicht sicher sind, ob die von Ihnen installierte Erweiterung dazu gehört, überprüfen Sie, ob die ID mit der in der Liste angegebenen übereinstimmt. Wenn Sie die Erweiterungen lieber anhand der ID suchen möchten, finden Sie diese im Microsoft-Bericht (Seiten 40–43) in einer anderen Anordnung.

Wir berichten nicht nur über Bedrohungen - wir beseitigen sie

Cybersecurity-Risiken sollten nie über eine Schlagzeile hinausgehen. Laden Sie noch heute Malwarebytes herunter, um Bedrohungen von Ihren Geräten fernzuhalten.