19 Browser-Erweiterungen wurden zu Malware – fünf erst nach dem Verkauf

Die Analyse von Socket vom 27. August 2026 ordnet 18 Chrome-Erweiterungen und eine Erweiterung für Microsoft Edge demselben modularen Malware-Framework zu. Fünf davon waren funktionierende Produkte, die erst nach dem Verkauf an neue Betreiber durch spätere Versionen schädlich wurden.

Betroffene sollten die unten aufgeführten IDs in sämtlichen Browserprofilen suchen und gefundene Erweiterungen entfernen. Weil die beobachteten Module Formulare, aktive Sitzungen, Browserverlauf und Krypto-Wallets angreifen konnten, reicht das Löschen allein nicht aus: Die weitere Reaktion muss sich danach richten, welche Konten und Wallets im betroffenen Browser verwendet wurden.

Automatische Updates übertrugen den Schadcode

Die Kampagne kombinierte zwei Vorgehensweisen. Ein Bericht von The Hacker News vom 28. August bestätigt die Aufteilung: 14 Erweiterungen wurden den Angreifern als ursprünglichen Herausgebern zugerechnet, fünf kauften sie von den bisherigen Entwicklern.

Die Produkte boten zunächst die angekündigte Funktion und enthielten in ihrer ersten Version keinen erkannten Schadcode. Erst eine spätere Veröffentlichung ergänzte das gemeinsame Framework. Bei bereits installierten Erweiterungen konnte die neue Version über den normalen automatischen Update-Mechanismus des Browsers eintreffen, ohne dass Nutzer das Produkt erneut installieren mussten.

Gerade die fünf übernommenen Erweiterungen zeigen den Vertrauensbruch: Eine unauffällige Installation blieb im Browser, während sich der Betreiber und später der Code änderten. Die Kampagne umging damit keine technische Updatefunktion, sondern missbrauchte den vorgesehenen Vertriebsweg für neue Versionen.

Diese Erweiterungs-IDs müssen geprüft werden

Für den Abgleich ist die Erweiterungs-ID zuverlässiger als der Anzeigename. Der Statusabgleich von BleepingComputer vom 30. August führt die vollständige Fundliste auf und verzeichnet keine der betroffenen Chrome-Erweiterungen mehr im Chrome Web Store; die Edge-Version war zum Zeitpunkt der Socket-Veröffentlichung noch verfügbar.

Die ersten fünf Einträge wurden nach Angaben der Untersuchung von ihren ursprünglichen Entwicklern übernommen. Alle weiteren Einträge wurden den Angreifern als ursprünglichen Herausgebern zugerechnet.

• pkoccklolohdacbfooifnpebakpbeipc — Enable Right Click & Copy — Smart Unlock + OCR; Chrome; übernommen.
• fegckejpfnlmfgkfjpinlbgmeeijjkel — RapidLens - Google Lens for Screen Search & Images; Chrome; übernommen.
• kdenlnncndfnhkognokgfpabgkgehodd — QuickLens - Search Screen with Google Lens; Chrome; übernommen.
• jamminefolhgepgihbmcjjhgldbfcikp — Password Protect PDF; Chrome; übernommen.
• inmkjedjdhgpknjogbjomhnbgdccckkg — Allow Copy - Select & Enable Right Click; Microsoft Edge; übernommen.
• fcgdejjichpgfaaafflplhfijcnieopb — PixelCheck; Chrome.
• cfpnjdbpojpcongfaefcamjbaolpelcd — Creative Library - Ad Spy Tool; Chrome.
• aapdalkmclfaahehnmicbglkohkldhne — Website Traffic Checker: MirrorSphere SEO Stats; Chrome.
• dkdadldmiefjldmegbjbnhhfddnkhlhm — Site Signal - Website Traffic & SEO Checker; Chrome.
• fjmlhlkccegopebcllcmafahkmeejpph — SEO Pulse Pro - Website Traffic & SEO Analyzer; Chrome.
• iekoapohahgmogbagegmcgplbkikcgke — Private Crypto News Reader; Chrome.
• ahpnnnjbnfbhoikhohglpohnoocjcoco — Blockfolio: Address Monitor; Chrome.
• oeacadlaclegkkkdehjmiifnjhcekclj — Crypto Rates & Fiat Converter; Chrome.
• jmlgannjlbliikgcaieomgmcnfplglea — Crypto Alerter: Price Alarms & Volatility Warnings; Chrome.
• lhmcajhgadanidbopgaoobjlldegjmke — DeFi Pulse Tracker; Chrome.
• gfackggoapepdmnjnkblogdcjpgcjiak — Crypto Price Badge: Quick Glance; Chrome.
• hfijkbdkpidafdbeebnnkhfccildbcle — Multi-Chain Explorer; Chrome.
• pcngchfbfgejllcbhmeadjhiebebiome — LedgerLook: Wallet Checker; Chrome.
• aodkjdeghbjiaienipfjkbpcikkacbcp — Meta & Facebook Ad Library Spy — Save Ads, Finder, Downloader | FeedX-Ray; Chrome.

Der Store-Status ersetzt die lokale Prüfung nicht. Eine bereits installierte Kopie kann in einem weiteren Profil, in einem synchronisierten Browserkonto oder auf einem verwalteten Gerät vorhanden sein. Für die Edge-Erweiterung ist aus den geöffneten Folgeberichten kein verlässlich bestätigter späterer Entfernungszeitpunkt ersichtlich.

Die Berechtigungen erlaubten unterschiedliche Schadmodule

Eine belastbare Berechtigungsmatrix für jede einzelne ID wurde nicht veröffentlicht. Dokumentiert sind gemeinsame technische Mechanismen: lokaler Erweiterungsspeicher, veränderbare Netzwerkregeln, Content-Skripte auf besuchten Seiten und das dynamische Nachladen ausführbaren JavaScript-Codes. Deshalb lässt sich aus dem Namen einer Erweiterung nicht ableiten, welches Modul eine konkrete Installation erhalten hat.

• Wallet-Manipulation: Beobachtete Module erkannten EVM-, Solana- und Tron-Wallets und ersetzten die Verarbeitung echter Schaltflächen zum Verbinden oder Tauschen. Weitere Abläufe zielten darauf, Recovery-Phrasen von Ledger- und Trezor-Nutzern abzufragen.
• Konten und Sitzungen: Das Framework konnte Cookies, Autorisierungs-Token, Profilinformationen und Kontodaten aus bereits angemeldeten Tabs erfassen.
• Formulare und Verlauf: Ein Grabber zeichnete Eingaben in Text-, E-Mail- und Passwortfeldern auf. Ein separates Modul übertrug den Browserverlauf.
• Zusätzliche Malware: ClickFix-Köder zeigten vorgetäuschte Browser-Updates und sollten Nutzer dazu bringen, einen vom Angreifer vorgegebenen Systembefehl auszuführen.

Die Architektur trennte den Loader von den eigentlichen Nutzlasten. Das Framework stellte eine dauerhafte WebSocket-Verbindung zu Command-and-Control-Servern her, konnte Serveradressen wechseln und zusätzliche Module nachladen. Welche Daten tatsächlich abflossen, hing damit von der ausgelieferten Nutzlast und der Nutzung des betroffenen Browsers ab.

Die Schadfunktion bestimmt die weitere Reaktion

1. Erweiterung entfernen: Alle Chrome- und Edge-Profile sowie synchronisierte und zentral verwaltete Installationen prüfen. Bei einem Treffer die Erweiterung löschen und den möglichen Nutzungszeitraum dokumentieren.
2. Passwörter erneuern: Zugangsdaten für Konten ändern, die im betroffenen Browser eingegeben oder verwendet wurden. Die Änderungen sollten von einem sauberen Gerät aus erfolgen.
3. Sitzungen widerrufen: In den betroffenen Diensten aktive Sitzungen abmelden. Dauerhafte Zugriffstoken, API-Schlüssel und verdächtige Kontoaktivitäten müssen separat geprüft werden.
4. Wallets absichern: Wurde eine Recovery-Phrase in einen verdächtigen Ablauf eingegeben, ist die betreffende Wallet als kompromittiert zu behandeln. Vermögenswerte gehören dann in eine neu eingerichtete Wallet mit neuer Phrase; zusätzlich sind erteilte Token-Freigaben und verbundene Anwendungen zu kontrollieren.
5. ClickFix als Gerätevorfall behandeln: Wer einen angezeigten Systembefehl ausgeführt hat, sollte das Gerät vom Netz trennen und untersuchen lassen. In diesem Fall kann neben der Browser-Erweiterung weitere Malware auf dem System vorhanden sein.

Öffentlich belegt sind die Erweiterungs-IDs, der gemeinsame modulare Angriffsweg und die Übernahme von fünf zuvor legitimen Produkten. Nicht beziffert sind bislang die Zahl der tatsächlich auf eine schädliche Version aktualisierten Installationen, der Umfang entwendeter Daten und mögliche finanzielle Schäden. Offen bleibt außerdem der abschließende Status des Edge-Angebots nach der ursprünglichen Meldung an Microsoft.

Lesen Sie auch:

• KI-Blase oder echter Boom? Fünf Kennzahlen entlarven zirkuläres Wachstum
• YouTube zählt ab dem ersten Frame: Mehr Views bedeuten nicht mehr Geld
• Roman vor dem Start: Das Teleskop sieht 100-mal mehr Himmel als Hubble