119 Edge Erweiterungen versprachen nützliche Tools, luden stattdessen aber Schadsoftware herunter.

Microsoft hat 119 Erweiterungen aus dem Edge Add-on-Stores, die alle mit einer einzigen Adware-Kampagne in Verbindung standen.

In einem Artikel mit dem Titel„Inside StegoAd: How We Disrupted a Massive Malicious Extension Campaign“ beschreiben Microsoft-Forscher detailliert, wie sie eine ausgeklügelte Malware-Kampagne aufgedeckt und zerschlagen haben, bei der Browser-Erweiterungen missbraucht wurden, um Nutzer zu infizieren. Nach Angaben von Microsoft umfasste die Kampagne 119 schädliche Browser-Erweiterungen, die von 2,6 Millionen Nutzern heruntergeladen wurden.

Die Erweiterungen versprachen alle eine gewisse Grundfunktionalität – und hielten dieses Versprechen auch ein: Werbeblocker, VPNs, Übersetzer, Video-Downloader, Rechner, Gutschein-Erweiterungen und so weiter. Doch nach einer Weile entpuppten sie sich als„Schläfer“und begannen heimlich, zusätzliche Malware herunterzuladen.

Zu der Nutzlast gehörten Malware, die für Werbebetrug genutzt wurde, aber auch Erweiterungen, die beliebiges, vom Server übermitteltes JavaScript ausführten. Diese stahlen bei der Anmeldung Google-Anmeldedaten und Zwei-Faktor-Codes, sammelten WordPress-Admin-Anmeldedaten und exfiltrierten Cookies in großem Umfang, um Sitzungen zu kapern.

Der Name der Kampagne „StegoAd“ leitet sich von den Begriffen „Werbung“ und „Steganografie“ ab, womit Techniken gemeint sind, Geheimnisse in etwas zu verbergen, das auf den ersten Blick keinen Verdacht erregt. In diesem Fall geht es darum, Code in Bildern zu verstecken.

Und die Cyberkriminellen versuchten nicht nur, unter dem Radar zu bleiben, indem sie eine gewisse Zeit abwarteten und Schadcode in Bildern versteckten, sondern ließen auch einige Opfer in Ruhe. Einige der Erweiterungen verhielten sich nur bei etwa 10 % der Installationen bösartig und führten tatsächlich die nächste Stufe der Malware aus, während die anderen ~90 % unberührt blieben (zumindest bei diesem Ausführungsversuch). In einigen Fällen verwendeten sie zudem die Namen bekannter, legitimer Erweiterungen, um zusätzliches Vertrauen zu schaffen.

Browser-Erweiterungen sind eine wahre Goldgrube für Cyberkriminelle, denn sie lassen sich mit der Installation eines kleinen Programms vergleichen, das sich in Ihrem Browser einnistet und alles, was Sie im Internet tun, beobachten und melden kann.

Ich höre schon einige von Ihnen denken: Ich benutze das nicht. Edge Oder ich habe es nur einmal benutzt, um meinen Lieblingsbrowser herunterzuladen und zu installieren. Obwohl Microsoft die Kampagne entdeckt und analysiert hat, sind die darin verwendeten Techniken allgemein auf Chromium-basierte Browser anwendbar.

Bei dieser Kampagne ging es weniger darum, eine Browser-Sicherheitslücke auszunutzen, als vielmehr darum, Nutzer dazu zu verleiten, eine vertrauenswürdig wirkende Erweiterung zu installieren, und anschließend mithilfe ausgefeilter Verschleierungstechniken lange genug unentdeckt zu bleiben, um Systeme zu kompromittieren.

Wie man sicher bleibt

Seien Sie beim Herunterladen von Erweiterungen stets vorsichtig, auch wenn diese aus seriösen App-Stores stammen. Wie wir bereits mehrfach gesehen haben, gelingt es Kriminellen, ihre Apps oder Erweiterungen in die Listen aufzunehmen, obwohl diese nur ein Update davon entfernt sind, zu Malware zu werden. Vergewissern Sie sich daher, dass Sie dem Entwickler vertrauen, und verlassen Sie sich nicht allein auf Bewertungen.

Verwenden Sie eine aktuelle Echtzeit-Sicherheitslösung, um schädliche Erweiterungen auf Ihrem Gerät zu erkennen und zu entfernen sowie Verbindungen zu schädlichen Domains und IP-Adressen zu blockieren. Entfernen Sie die bekannten schädlichen Erweiterungen aus Ihrem Browser. Nachfolgend finden Sie eine alphabetische Liste der schädlichen Erweiterungen, die die Forscher anhand ihrer Namen identifiziert haben.

Bitte beachten Sie, dass es möglicherweise mehrere Erweiterungen mit demselben Namen gibt. Falls Sie sich nicht sicher sind, ob die von Ihnen installierte Erweiterung dazu gehört, überprüfen Sie, ob die ID mit der in der Liste angegebenen übereinstimmt. Wenn Sie die Erweiterungen lieber anhand der ID suchen möchten, finden Sie diese im Microsoft-Bericht (Seiten 40–43) in einer anderen Anordnung.

Von der Meldung von Bedrohungen bis zu deren Beseitigung.

Cybersicherheitsrisiken sollten niemals über die Schlagzeile hinausgehen. Schützen Sie Ihre Geräte vor Bedrohungen, indem Sie Malwarebytes noch heute herunterladen .