Bösartige chrome-erweiterungen stahlen daten von 300.000 nutzern

Ein betrügerischer angriff auf chrome-nutzer

Eine umfangreiche Kampagne mit bösartigen Google Chrome-Erweiterungen hat über 300.000 Nutzer weltweit betroffen. Die Erweiterungen, die sich als nützliche KI-Assistenten ausgaben, dienten dazu, sensible Daten wie Zugangsdaten, E-Mail-Adressen und Browserverläufe zu stehlen. Die Sicherheitsfirma LayerX deckte die betrügerische Operation namens AiFrame auf und warnt vor den Risiken.

Die taktik der cyberkriminellen

Die Angreifer nutzten die Popularität von KI-Tools aus, um ihre bösartigen Erweiterungen in der Chrome Web Store zu platzieren. Sie erstellten überzeugende Beschreibungen und nutzten Keywords im Zusammenhang mit künstlicher Intelligenz, um Nutzer anzulocken. Sobald eine Erweiterung installiert war, begann sie im Hintergrund, Daten zu sammeln und an Server der Angreifer zu senden, ohne das Wissen des Nutzers.

Die gefährlichsten erweiterungen

LayerX identifizierte 30 betroffene Erweiterungen, die alle die gleiche bösartige Infrastruktur nutzten. Besonders hervorzuheben sind: Gemini AI Sidebar (bis zu 80.000 Downloads), AI Sidebar (70.000 Downloads), AI Assistant (60.000 Downloads) und ChatGPT Translate (30.000 Downloads). Diese Erweiterungen wurden inzwischen aus dem Chrome Web Store entfernt.

Gemeinsame merkmale der malware

• Identischer JavaScript-Code: Alle Erweiterungen enthielten fast identischen Quellcode.
• Gleiche Berechtigungen: Sie forderten alle notwendigen Berechtigungen an, um Daten abgreifen zu können.
• Gemeinsame Backend-Infrastruktur: Sie kommunizierten über einen einzigen Domain mit den Servern der Angreifer.

Die funktionsweise der aiframe-erweiterungen

Anstatt KI-Funktionen lokal auszuführen, luden die Erweiterungen einen Iframe von einem externen Server. Diese Technik ermöglichte es den Angreifern, das Verhalten der Erweiterung zu manipulieren, ohne neue Versionen veröffentlichen und somit der Prüfung entgehen zu müssen. Sie konnten so Änderungen vornehmen, ohne dass Google dies bemerkte.

Der angriff auf gmail-nutzer

Ein Teil der Erweiterungen (15) zielte speziell auf Gmail-Nutzer ab. Sie extrahierten Inhalte von E-Mails, einschließlich sensibler Authentifizierungsdaten, direkt aus dem DOM (Document Object Model). Auch Entwürfe wurden kompromittiert. Bei der Nutzung von KI-gestützten Funktionen wie Antwortvorschlägen oder Zusammenfassungen wurden die E-Mail-Inhalte an die Server der Angreifer gesendet.

Spracherkennung als weitere angriffspunkt

Einige Erweiterungen enthielten auch eine Spracherkennungsfunktion, die Audio aufnehmen und an externe Server übertragen konnte. Dies ermöglichte den Angreifern, zusätzliche Informationen über die Nutzer zu sammeln und ihre Aktivitäten zu verfolgen. Die Daten wurden ohne Zustimmung des Nutzers weiterverwendet.

Empfehlungen zur schadensbegrenzung

LayerX empfiehlt dringend, die Liste der betroffenen Erweiterungen zu überprüfen und alle verdächtigen Erweiterungen zu entfernen. Darüber hinaus sollten Nutzer ihre Passwörter für alle wichtigen Konten zurücksetzen, um weitere Schäden zu verhindern. Seien Sie stets vorsichtig bei der Installation von Browsererweiterungen und prüfen Sie die Berechtigungen sorgfältig.

Zukunftsperspektiven und prävention

Dieser Vorfall unterstreicht die Notwendigkeit einer verstärkten Überwachung und Kontrolle von Browsererweiterungen. Google muss seine Sicherheitsmaßnahmen weiter verbessern, um solche Angriffe in Zukunft zu verhindern. Nutzer sollten sich über die Risiken informieren und nur Erweiterungen von vertrauenswürdigen Quellen installieren. Wissen ist der Schlüssel zur Sicherheit!