Die Erweiterung, die Sie vor zwei Jahren installiert haben, ist nicht die, die heute läuft

Browser-Erweiterungen aktualisieren sich still von selbst, ohne zu fragen. Diese eine Tatsache ist die ganze Geschichte.

Die Forscher von Socket veröffentlichten am 28. August ihre Ergebnisse zu 19 Erweiterungen, 18 für Chrome und eine für Edge, zusammengefasst als Kampagne "Superior" und zurückverfolgt bis Februar 2024. Vierzehn stammen vom Angreifer selbst. Die anderen fünf wurden ihren Urhebern abgekauft, und genau daran lohnt es sich hängenzubleiben: Jemand schreibt ein nützliches kleines Werkzeug, verliert die Lust an der Pflege, verkauft es weiter, und der Käufer schiebt ein Update nach, das etwas ganz anderes tut. Die größte war "Enable Right Click and Copy" mit etwa 70.000 Nutzern in Chrome und weiteren 10.000 in Edge.

Die aktualisierten Versionen waren in ihren Absichten nicht zimperlich. Sie leerten Krypto-Wallets über mehrere Blockchains hinweg, zeigten gefälschte Wiederherstellungsseiten von Ledger und Trezor, um Seed-Phrasen abzufangen, stahlen angemeldete Sitzungen bei Börsen wie Coinbase, Binance und Kraken, griffen alles ab, was auf beliebigen Websites in ein Passwort- oder E-Mail-Feld getippt wurde, schleusten den Browserverlauf sowie Sitzungstoken von Facebook und LinkedIn aus und blendeten gefälschte Browser-Update-Hinweise ein, die Sie auffordern, selbst einen Befehl in Windows einzufügen. Google entfernte den Chrome-Eintrag. Als Socket veröffentlichte, war die Edge-Version noch verfügbar.

Fast jeder schleppt Erweiterungen mit sich herum, die er seit Jahren nicht mehr benutzt und an die er nie denkt. Genau da liegt das Risiko, und aufräumen dauert zwei Minuten: Öffnen Sie die Erweiterungsseite Ihres Browsers und entfernen Sie alles, was Sie nicht in einem Satz erklären können. Der Sicherheitscheck von Tendvane zeigt Browser-Erweiterungen direkt neben den Autostart-Programmen, und meist ist das der Moment, in dem Leute merken, was da alles mitgefahren ist.