Dutzende Chrome-Erweiterungen gehackt, über 2,6 Millionen Benutzer Opfer von Datendiebstahl

Bei einem schwerwiegenden Cybersicherheitsverstoß wurden mindestens 35 beliebte Chrome-Browsererweiterungen kompromittiert, wodurch über 2,6 Millionen Benutzer einem potenziellen Datendiebstahl und der Erfassung von Anmeldeinformationen ausgesetzt waren. Der Angriff zielte mit einer Phishing-Kampagne auf Erweiterungsentwickler ab, die es Hackern ermöglichte, bösartigen Code in legitime Erweiterungen einzuschleusen und vertrauenswürdige Tools in Bedrohungen für den Datendiebstahl zu verwandeln.

Wie der Angriff geschah

Der Angriff begann mit einer Phishing-E-Mail, in der sich der Entwicklersupport des Google Chrome Web Stores ausgab. In der E-Mail wurde fälschlicherweise behauptet, dass die betroffenen Erweiterungen wegen Verstoßes gegen Richtlinien von der Entfernung bedroht seien, und die Entwickler wurden aufgefordert, einem Link zu folgen, um „das Problem zu lösen“. Dieser Link erteilte einer bösartigen OAuth-App namens „Privacy Policy Extension“ Berechtigungen, wodurch Angreifer Zugriff auf die Konten der Entwickler erhielten.

Sobald der Zugriff erfolgt war, wurde Schadcode in die betroffenen Erweiterungen hochgeladen. Dieser Code:

• Cookies und Benutzerzugriffstoken gestohlen .
• Kommuniziert mit Command-and-Control-Servern (C&C), um zusätzliche Anweisungen herunterzuladen.
• Exfiltrierte Benutzerdaten zur weiteren Nutzung.

Der Angriff kam ans Licht, als das Cybersicherheitsunternehmen Cyberhaven bekannt gab, dass einer seiner Mitarbeiter am 24. Dezember Opfer eines Angriffs geworden war. Die Browsererweiterung des Unternehmens wurde schnell ausgenutzt, aber dieser Vorfall war nur die Spitze des Eisbergs.

Vollständige Liste der kompromittierten Erweiterungen

Bei genauerem Hinsehen entdeckten die Ermittler die folgenden kompromittierten Chrome-Erweiterungen:

1. KI-Assistent – ChatGPT und Gemini für Chrome
2. Bard AI Chat-Erweiterung
3. GPT 4 Zusammenfassung mit OpenAI
4. Search Copilot AI Assistant für Chrome
5. TinaMind KI-Assistent
6. Wayin KI
7. VPNCity
8. Internxt VPN
9. Vidnoz Flex Videorecorder
10. VidHelper Video-Downloader
11. Lesezeichen-Favicon-Wechsler
12. Castorus
13. Uvoice
14. Lesemodus
15. Papageiengespräche
16. Primus
17. Tackker – Online-Keylogger-Tool
18. KI-Shop-Buddy
19. Nach Ältesten sortieren
20. Belohnungssuchautomat
21. ChatGPT Assistant - Intelligente Suche
22. Tastaturverlaufsrekorder
23. E-Mail Hunter
24. Visuelle Effekte für Google Meet
25. Earny - Bis zu 20 % Cashback
26. Wo ist Cookie?
27. Webspiegel
28. ChatGPT App
29. Hallo KI
30. Web3Password Manager
31. YesCaptcha-Assistent
32. Proxy-SwitchyOmega (V3)
33. GraphQL-Netzwerkinspektor
34. ChatGPT für Google Meet
35. GPT 4 Zusammenfassung mit OpenAI

Diese umfassende Liste verdeutlicht das Ausmaß der Sicherheitsverletzung, die sich auf Erweiterungen für KI-Unterstützung, VPN-Dienste, Produktivität und mehr auswirkt.

Böswillige Aktivitäten aufgedeckt

Die Angreifer haben nicht nur Daten gestohlen. Die Analyse der kompromittierten Erweiterungen ergab:

• Angriffe auf Identitäten und Anmeldeinformationen : Schädlicher Code hatte es auf Zugriffstoken und Identitätsinformationen abgesehen, insbesondere auf Facebook-Ads-Konten.
• Überwachung von Mausklicks : Code protokollierte Benutzerklicks auf Facebook-Seiten, um QR-Codes zu erfassen, und umging so möglicherweise die Zwei-Faktor-Authentifizierung (2FA) .
• Monetarisierungsschemata : In einigen Fällen hatten Entwickler bereits vor dem Verstoß SDKs zur Datenerhebung zur Monetarisierung integriert.

Erweiterungen wie Visual Effects für Google Meet verwendeten eine mit Urban VPN verknüpfte Werbeblockerbibliothek, die heimlich Benutzerdaten sammelte.

Wie lange passiert das schon?

Es gibt Hinweise darauf, dass diese Kampagne seit 2022 oder früher aktiv sein könnte. Die Ermittler haben Domain-Registrierungen, die mit der bösartigen Aktivität in Verbindung stehen, bis ins Jahr 2021 zurückverfolgt. Zum Beispiel:

• Die Domain nagofsg[.]com wurde im August 2022 registriert.
• Die Domain sclpfybn[.]com wurde im Juli 2021 registriert.

Laufende Risiken

Obwohl viele kompromittierte Erweiterungen im Chrome Web Store entfernt oder aktualisiert wurden, ist das Risiko nicht vollständig gemindert. Wenn die bösartige Version einer Erweiterung noch auf dem Gerät eines Benutzers aktiv ist, kann sie weiterhin Daten stehlen.

„Das Entfernen einer Erweiterung aus dem Chrome Web Store entfernt sie nicht automatisch von den Benutzerendpunkten“, warnt Or Eshed, CEO von LayerX Security.

Was Sie tun können

Mit den folgenden Schritten können Sie Ihre Daten schützen:

1. Deinstallieren Sie betroffene Erweiterungen : Überprüfen Sie die Liste der betroffenen Erweiterungen und entfernen Sie alle, die Sie installiert haben.
2. Berechtigungen widerrufen : Wenn Sie verdächtigen Erweiterungen oder Apps Berechtigungen erteilt haben, widerrufen Sie diese umgehend in den Einstellungen Ihres Google-Kontos.
3. 2FA aktivieren : Stärken Sie Ihre Konten, wo immer möglich, mit einer Zwei-Faktor-Authentifizierung.
4. Passwörter aktualisieren : Ändern Sie Passwörter für Konten, die möglicherweise offengelegt wurden.
5. Achten Sie auf ungewöhnliche Aktivitäten : Achten Sie auf unbefugten Zugriff oder Aktivitäten auf Ihren Konten.

Abschließende Gedanken

Dieser Vorfall unterstreicht, wie wichtig Wachsamkeit bei der Verwendung von Browsererweiterungen ist. Erweiterungen sind zwar leistungsstarke Tools, stellen jedoch auch erhebliche Sicherheitsrisiken dar, wenn sie kompromittiert werden. Entwickler und Benutzer müssen gleichermaßen auf Phishing-Kampagnen achten und Berechtigungen und Updates genau prüfen.

Auch der Überprüfungsprozess im Chrome Web Store von Google muss angepasst werden, um bösartige Aktivitäten besser zu erkennen und Benutzer künftig vor ähnlichen Bedrohungen zu schützen.

Indem Benutzer informiert bleiben und proaktiv handeln, können sie die Risiken dieses und zukünftiger Angriffe minimieren. Lassen Sie nicht zu, dass vertrauenswürdige Tools zum Einfallstor für Cyberkriminelle werden – ergreifen Sie noch heute Maßnahmen zum Schutz Ihrer Daten.