Erweiterungstrojaner-Malware: Eine wachsende Bedrohung für Benutzer von Google Chrome und Microsoft Edge
Eine neue Welle von Malware wurde entdeckt, die auf Benutzer von Google Chrome und Microsoft Edge abzielt, indem sie betrügerische Browsererweiterungen über einen Trojaner installiert, der über gefälschte Websites verbreitet wird. Diese seit 2021 aktive Kampagne nutzt nachgeahmte Websites, die sich als beliebte Software-Downloadseiten ausgeben, um ahnungslose Benutzer zum Herunterladen bösartiger Installationsprogramme zu verleiten.
Table of Contents
Die Bedrohungslandschaft
Die Malware, die zuerst von ReasonLabs identifiziert wurde, reicht von relativ einfachen Adware-Erweiterungen, die Suchergebnisse kapern, bis hin zu ausgefeilteren Skripten, die private Daten stehlen und nicht autorisierte Befehle auf infizierten Systemen ausführen können. Der Trojaner hat bereits über 300.000 Benutzer befallen, was die weitreichenden Auswirkungen dieser Kampagne unterstreicht.
Der Kern dieser Bedrohung ist der Einsatz von Malvertising, bei dem Angreifer ähnliche Websites erstellen, die bekannte Software wie Roblox FPS Unlocker, YouTube, VLC Media Player, Steam und KeePass bewerben. Benutzer, die nach diesen Programmen suchen, werden möglicherweise dazu verleitet, einen Trojaner herunterzuladen, der als Kanal zur Installation bösartiger Browsererweiterungen dient.
Nach der Installation registrieren diese digital signierten bösartigen Installationsprogramme eine geplante Aufgabe auf dem System des Opfers, die ein PowerShell-Skript auslöst, um zusätzliche Payloads von einem Remote-Server herunterzuladen und auszuführen. Diese Payloads umfassen Änderungen an der Windows-Registrierung und erzwingen die Installation von Erweiterungen aus dem Chrome Web Store und Microsoft Edge-Add-ons. Diese Erweiterungen werden dann verwendet, um Suchanfragen bei Google und Microsoft Bing zu kapern und sie über vom Angreifer kontrollierte Server umzuleiten.
So funktioniert die Malware
Die von diesem Trojaner installierten bösartigen Erweiterungen können von Benutzern nicht einfach entfernt werden, selbst wenn der Entwicklermodus aktiviert ist. Neuere Versionen des Skripts sind noch gefährlicher geworden, da sie Browser-Updates entfernen und die Malware so noch stärker auf infizierten Systemen verankern.
Zusätzlich wird eine lokale Erweiterung von einem Command-and-Control-Server (C2) gestartet, der mit umfangreichen Funktionen ausgestattet ist. Er fängt alle Webanfragen ab, sendet sie an den Server, empfängt Befehle und verschlüsselte Skripte und fügt bösartigen Code in Webseiten ein. Die Malware kapert auch Suchanfragen von beliebten Suchmaschinen wie Ask.com, Bing und Google, schleust sie durch seine Server und leitet sie dann an andere Suchmaschinen weiter.
So entfernen Sie die Erweiterungs-Trojaner-Malware
Wenn Sie den Verdacht haben, dass Ihr System von dieser Malware befallen wurde, müssen Sie unbedingt sofort Maßnahmen ergreifen, um den Schaden zu begrenzen. Befolgen Sie diese Schritte, um die Malware zu entfernen und Ihr System wiederherzustellen:
- Löschen Sie die geplante Aufgabe: Suchen und löschen Sie die geplante Aufgabe, die die Malware täglich reaktiviert.
- Registrierungsschlüssel entfernen: Greifen Sie auf die Windows-Registrierung zu und entfernen Sie alle mit der Malware verbundenen Schlüssel.
- Löschen Sie schädliche Dateien und Ordner: Entfernen Sie die folgenden Dateien und Verzeichnisse von Ihrem System:
-
C:\Windows\system32\Privacyblockerwindows.ps1 -
C:\Windows\system32\Windowsupdater1.ps1 -
C:\Windows\system32\WindowsUpdater1Script.ps1 -
C:\Windows\system32\Optimizerwindows.ps1 -
C:\Windows\system32\Printworkflowservice.ps1 -
C:\Windows\system32\NvWinSearchOptimizer.ps1(Version 2024) -
C:\Windows\system32\kondserp_optimizer.ps1(Version Mai 2024) -
C:\Windows\InternalKernelGrid -
C:\Windows\InternalKernelGrid3 -
C:\Windows\InternalKernelGrid4 -
C:\Windows\ShellServiceLog -
C:\windows\privacyprotectorlog -
C:\Windows\NvOptimizerLog
-
Indem Sie diese Schritte befolgen, können Sie die Malware entfernen und weiteren Schaden an Ihrem System verhindern. Es wird jedoch auch empfohlen, ein bewährtes Antivirenprogramm zu installieren und regelmäßig zu aktualisieren, um sich vor zukünftigen Bedrohungen zu schützen.
Diese anhaltende Malware-Kampagne ist ein Hinweis auf die sich entwickelnden Bedrohungen in der digitalen Welt. Indem Benutzer wachsam und vorsichtig bleiben, insbesondere beim Herunterladen von Software aus unbekannten Quellen, können sie ihre Systeme vor diesen gefährlichen Trojanern schützen. Überprüfen Sie stets die Echtheit von Websites und Downloads und halten Sie Ihre Sicherheitssoftware auf dem neuesten Stand, um sich vor den neuesten Bedrohungen zu schützen.
