20.000 Nutzer betroffen Bösartige Chrome-Erweiterungen stehlen Google- und Telegram-Daten

Anbieter zum Thema

Aagon GmbH

FTAPI Software GmbH

Unbekannte Täter haben im Chrome Web Store 108 bösartige Browser-Er­weiterungen hochgeladen, die Daten von Google- und Telegram-Nutzern stehlen. Die Extensions wurden bereits 20.000 Mal heruntergeladen. So schützen Sie sich.

Das Forschungsteam von Socket berichtet, insgesamt 108 bösartige Chrome-Erweiterungen im offiziellen Web Store entdeckt zu haben, die über dieselbe C2-Infrastruktur kommunizieren und Google- und Telegram-Daten stehlen würden. Diese Extensions hätten bereits Daten von rund 20.000 Nutzern gestohlen.

Urban VPN Proxy sendet Prompts an Analytics-Server

Browser-Erweiterungen zapfen heimlich KI-Chats ab

Extensions greifen im Hintergrund Daten ab

Die Analysten identifizierten fünf Publisher, die die bösartigen Extensions im Chrome Web Store hochgeladen hätten: Yana Project, GameGen, SideGames, Rodeo Games und InterAlt. Die Erweiterungen, die die Entwickler als angeblich hilfreiche Tools angeboten hätten, seien bereits mehr als 20.000 Mal heruntergeladen worden. Socket schlüsselte die Erweiterungen und ihre Aufgaben auf:

• 54 Erweiterungen stehle Google-Kontodaten über OAuth2.

• Eine Erweiterung exfiltriere aktiv alle 15 Sekunden Telegram-Websitzungen.

• Eine Erweiterung enthalte eine vorbereitete Infrastruktur zum Diebstahl von Telegram-Sitzungen.

• Zwei Erweiterungen würden die Sicherheitsheader von YouTube entfernen und Werbung einfügen.

• Eine Erweiterung entferne die Sicherheitsheader von TikTok und füge Werbung ein.

• Zwei Erweiterungen würden Content-Skripte in jede vom Nutzer besuchte Seite einfügen.

• Eine Erweiterung leite alle Übersetzungsanfragen über den Server des Angreifers.

• 45 Erweiterungen würden eine universelle Hintertür enthalten, die beim Browserstart beliebige URLs öffne.

Um legitim zu erscheinen, würden sich die Erweiterungen als Telegram-Sidebar-Clients, Spiel­automaten und Keno-Spiele, YouTube- und TikTok-Erweiterungen, Textübersetzungstools und Seitenhilfsmittel ausgeben. Die Tarn-Funktionen seien darauf ausgelegt, ein möglichst breites Publikum anzusprechen, während sie alle dieselbe Backend-Architektur nutzen würden. Al­ler­dings seiden Usern nicht bewusst, dass im Hintergrund ihrer Sitzung Informationen gestohlen würden, beliebige Skripte eingeschleust würden und die Akteure beliebige URLs öffnen könn­ten.

Wer hinter der Entwicklung und Verbreitung der bösartigen Chrome-Erweiterungen steckt, ist noch nicht bekannt. Socket habe jedoch ihren Quellcode analysiert und russischsprachige Kom­men­tare in mehreren Add-ons aufgedeckt.

Zero-Day-Schwachstelle

Google schützt Chrome mit Update vor aktiven Angriffen

Schutzmaßnahmen

Socket veröffentlicht in seiner Analyse nicht alle 108 bösartigen Extensions, sondern nur Bei­spiele. Stattdessen liefert der Hersteller eine Liste mit Indicators of Compromise (IoCs) sowie Handlungsempfehlungen für User und IT-Sicherheitsteams.

Für User:

• Suchen Sie in Ihren installierten Chrome-Erweiterungen nach den Erweiterungs-IDs und entfernen Sie diese.

• Wenn Sie Telegram Multi-Account („obifanppcpchlehkjipahhphbcbjekfa“) verwendet haben, während Sie in Telegram Web angemeldet waren, melden Sie sich in der Telegram-Mobil-App unter „Einstellungen“, „Geräte“, „Alle anderen Sitzungen beenden“ von allen Telegram-Web-Sitzungen ab.

• Wenn Sie sich mit Google bei einer Slot-Spiel-, Casino- oder Sidebar-Erweiterung an­ge­meldet haben, betrachten Sie Ihre Google-Identität als gefährdet. Überprüfen Sie die Zugriffsrechte von Drittanbieter-Apps unter „myaccount.google.com/permissions und widerrufen Sie alle unbekannten Einträge.

• Wenn Sie Text Translation („ogogpebnagniggbnkbpjioobomdbmdcj“) installiert und sich mit Ihrer E-Mail-Adresse registriert haben, sind diese E-Mail-Adresse und Ihr Name auf dem Server des Angreifers gespeichert.

Für IT-Sicherheitsteams:

• Blockieren Sie die Domänen „cloudapi[.]stream“ und „top[.]rodeo“ sowie alle zugehörigen Subdomains auf Netzwerkebene. Die vollständige Liste finden Sie unter den IOCs.

• Markieren Sie Chrome-Erweiterungen in Ihrer Umgebung, die die Identitätsberechtigung zusammen mit OAuth2-Client-IDs aus Google Cloud-Projektnummern 1096126762051 oder 170835003632 deklarieren.

• Das „loadInfo()“-Muster ist ein klares Erkennungszeichen für bösartige Erweiterungen. Beim Start des Service-Workers schickt die Erweiterung ihre ID per POST-Anfrage an „/user_info“, bekommt eine URL („infoURL“) zurück und öffnet sie automatisch. Scannen Sie Erwei­ter­ungs­pakete auf die Kombination aus „user_info“, „infoURL“ und „chrome.tabs.create“.

• DeclarativeNetRequest-Regeln, die die Content-Security-Policy von benannten Zielseiten entfernen, entsprechen nicht dem Standardverhalten und sollten in jeder Erweiterung überprüft werden.

UNC2814

Chinesische Akteure missbrauchen Google Sheets

(ID:50815794)