ShadyPanda zeigt die stille Macht bösartiger Browser-Erweiterungen Der Browser ist der neue blinde Fleck der IT-Security

Anbieter zum Thema

Island Technology (UK) Limited

FTAPI Software GmbH

Eine Browser-Erweiterung funktioniert jahrelang unauffällig und erhält gute Bewertungen. Dann kommt ein Update und macht sie zum Spion. Der Fall ShadyPanda zeigt, dass Angreifer keine Sicherheitslücken mehr brauchen, wenn sie die Architektur des Browsers selbst nutzen können.

ShadyPanda ist kein klassischer Hackerangriff. Keine Zero-Day-Lücke, kein Exploit, kein Schadcode, der sich gewaltsam einnistet. Die Kampagne nutzte etwas weit Gefährlicheres: die Architektur moderner Browser.

Sicherheitsforscher von Koi Research und der Experte Tuval Admoni deckten eine über Jahre laufende Operation auf, die Geduld über Geschwindigkeit stellte. Erweiterungen wurden regulär in offiziellen Stores veröffentlicht und sie funktionierten. Tatsächlich erhielten sie auch gute Bewertungen und Verifizierungsabzeichen. Und sie blieben über Jahre hinweg unauffällig.

Dann kam ein Update.

Mit einer neuen Version änderte sich das Verhalten abrupt. Die zuvor harmlose Erweiterung begann, Daten abzugreifen, Suchanfragen umzuleiten, Sitzungen zu überwachen und mit externer Infrastruktur zu kommunizieren. Technisch gesehen geschah nichts Verbotenes. Alles bewegte sich im Rahmen der vorgesehenen Funktionen der Browser-Architektur. Der Angriff versuchte nicht die Sicherheitsmaßnahmen zu umgehen, sondern nutzte sie stattdessen.

Urban VPN Proxy sendet Prompts an Analytics-Server

Browser-Erweiterungen zapfen heimlich KI-Chats ab

Architektur als Angriffsfläche

Der Begriff “architecture aligned attack” beschreibt einen Strategiewechsel. Angreifer suchen nicht mehr nach Schwachstellen im Code. Sie nutzen die Funktionslogik selbst.

Im Fall ShadyPanda war es vor allem der offizielle Update Prozess. Erweiterungen aktualisieren sich automatisch. Nutzer müssen nicht mehr zustimmen, solange keine neuen Berechtigungen hinzukommen. Genau hier setzte die Kampagne an.

Hinzu kam dynamisch nachgeladener Code. Die Erweiterung lud nach der Installation JavaScript von einem externen Server nach. Dadurch blieb der schädliche Teil bei der ursprünglichen Store Prüfung unsichtbar.

Auch sogenannte Service Worker spielten eine Rolle. Diese Standardfunktion von Browsern ermöglicht Hintergrundprozesse, etwa um Inhalte offline verfügbar zu machen oder Anfragen im Hintergrund zu verarbeiten. In diesem Fall wurde sie missbraucht, um unbemerkt Netzwerkverkehr abzufangen, Cookies auszulesen, Sitzungsinformationen zu extrahieren und sogar Suchanfragen umzuleiten – ohne dass Nutzer eine sichtbare Veränderung bemerkten.

All diese Funktionen sind eigentlich legitim vorgesehen. Genau das machte ihren Einsatz als Teil eines Angriffs so schwer zu erkennen.

20.000 Nutzer betroffen

Bösartige Chrome-Erweiterungen stehlen Google- und Telegram-Daten

Vom Affiliate Trick zur Fernsteuerung

Bemerkenswert ist die Eskalation. Die ersten Manipulationen dienten offenbar dem Affiliate Betrug. Suchanfragen wurden umgeleitet, Provisionen abgegriffen. Erst später folgte die Möglichkeit zur Remote Code Execution, also zur Ausführung von Code aus der Ferne auf den betroffenen Systemen. Die Erweiterung kontaktierte regelmäßig eine Command and Control Infrastruktur und lud dort neue Befehle.

So entstand eine flexible Plattform, die sich jederzeit anpassen ließ. Ein erneutes Store Update war nicht mehr nötig.

Die Malware prüfte zudem, ob Entwicklerwerkzeuge geöffnet waren. Wurde eine Analyse vermutet, stoppte sie ihre Aktivität. Tarnung statt Angriffslärm.

Sicherheit für BYOD und nicht verwaltete Geräte

Wie Enterprise Browser und SSE gemeinsam Daten wirksam schützen

Der Browser als blinder Fleck

Nun könnte man sagen: Wieder nur eine von vielen Angriffen. Also warum ist das relevant für Unternehmen? Weil sich Arbeit verlagert hat. Anwendungen laufen im Browser. Identitäten werden dort direkt geprüft und Daten dort verarbeitet.

Gleichzeitig wächst das Ökosystem der Erweiterungen rasant. Insbesondere Kategorien wie KI Werkzeuge, VPN Dienste und Passwortmanager dominieren neue Features. Diese Werkzeuge benötigen weitreichende Berechtigungen. Sie dürfen Inhalte lesen und verändern, auf Sitzungsdaten zugreifen und mit externen Diensten kommunizieren.

Das Problem ist kein Fehler im Browser. Es ist ein Zielkonflikt. Verbraucherbrowser optimieren Offenheit, Innovation und Reichweite. Unternehmen benötigen Kontrolle, Transparenz und Durchsetzung von Richtlinien. Diese beiden Missionen überschneiden sich kaum.

„Datenschutzfreundliche Werbe-Messung“

Mozilla trackt heimlich Firefox-Nutzer

Warum klassische Schutzmechanismen versagen

Viele Sicherheitslösungen arbeiten außerhalb des Browsers. Proxy Systeme, Netzwerk Filter oder Endpoint Agenten sehen verschlüsselten Datenverkehr, aber sie sehen nicht, was innerhalb der Sitzung geschieht.

Eine Erweiterung operiert im Inneren des Browsers, mit legitimen Rechten. Sie kann Daten kopieren, Formulare auslesen oder Token stehlen, ohne dass ein externer Sensor eingreift. ShadyPanda zeigt, dass diese Lücke real ist.

Neue Antworten auf alte Prinzipien

Die Diskussion um sogenannte Enterprise Browser gewinnt daher an Bedeutung. Gemeint sind Browser-Umgebungen, die Sicherheitsfunktionen direkt integrieren.

Zentrale Elemente sind die kontinuierliche Bewertung von Erweiterungen und deren Verhaltensänderungen, kontextabhängige Richtlinien (abhängig von Nutzerrolle, Anwendung oder Standort), Transparenz über Datenbewegungen wie Kopieren, Hochladen oder Download sowie die klare Durchsetzung von Daten Grenzen innerhalb sensibler Anwendungen.

Der Ansatz verschiebt Kontrolle dorthin, wo das Risiko entsteht: in den Browser selbst.

Beim heimlichen Tracking ertappt

Meta und Yandex spionierten Nutzer aus

Strategische Konsequenzen

ShadyPanda ist kein Einzelfall, sondern ein Signal. Angreifer denken langfristig. Sie warten. Sie nutzen reguläre Prozesse. Sie bauen Vertrauen auf, bevor sie es ausnutzen.

Für Unternehmen bedeutet das, den Browser nicht länger als neutrales Werkzeug zu betrachten. Er ist Arbeitsumgebung, Identitätsdrehscheibe und Datenraum zugleich.

Sicherheit muss dort beginnen, wo gearbeitet wird.

Über den Autor: Lennart Uden ist Sales DACH bei Island.

HashJack

Neue Angriffsmethode trickst KI-gestützte Browser aus

(ID:50827136)