Google entfernt mehr als 500 schädliche Erweiterungen aus dem Chrome Web Store

Die Sicherheitsforscherin Jamila Kaya und Ciscos Duo Security Team haben ein Netzwerk aus schädlichen Chrome-Erweiterungen entdeckt, die gefährliche Online-Anzeigen in Millionen von Chrome-Installationen eingeschleust haben. Google entfernt darauf hin mehr als 500 Erweiterungen aus dem offiziellen Chrome Web Store.

Die Forscher benötigen rund zwei Monate, um alle bösartigen Erweiterungen aufzuspüren. Ihrem Bericht zufolge waren sie Bestandteil einer größeren Malware-Kampagne, die seit mindestens zwei Jahre lang aktiv war. Die Hintermänner, so vermuten die Forscher, könnten sogar schon seit fast zehn Jahren aktiv sein.

Der schädliche Code der Erweiterungen wurde nur unter bestimmten Bedingungen aktiv. Im besten Fall leitete er Nutzer über eine Affiliate-Link auf legitime Websites von Unternehmen wie Macys, Dell oder BestBuy. In einigen Fällen waren die Ziele der Links schädliche Websites, auf denen Malware oder Phishing auf die Besucher wartete.

Die ersten Spuren der schädlichen Erweiterungen fand Kaya nach eigenen Angaben bei einer Routinesuche nach Bedrohungen. Dabei fielen ihre schädliche Seiten mit einem gemeinsamen URL-Muster auf. Das Tool CRXcavator, das der Analyse von Chrome-Erweiterungen dient, führte sie schließlich zu mehreren Erweiterungen, die sich eine gemeinsame Codebasis teilten.

Zusammen mit dem Duo-Team habe sie dann anfänglich mehr als ein Dutzend schädliche Erweiterungen mit mehr als 1,7 Millionen Nutzern gefunden. „Wir haben uns dann mit unseren Erkenntnissen an Google gewandt, das bei der Löschung der Erweiterungen sehr kooperativ war“, sagte Kaya im Gespräch mit ZDNet.com.

Google identifizierte anschließend anhand des vorliegenden Musters weitere schädliche Erweiterungen, was schließlich zur Sperrung von mehr als 500 Erweiterungen führte. Unklar ist jedoch, wie viele Nutzer diese Erweiterungen installiert hatten – die Zahl der Betroffenen sollte aber in die Millionen gehen.

Auffällig bei dieser Kampagne war den Forscher zu folgen, dass sich die Hintermänner nicht bemühten, ihre Aktivitäten zu verschleiern. Ähnliche Netzwerke schädlicher Erweiterungen hätten sich stets auf das Einblenden von wenigen und legitime Anzeigen beschränkt, um unentdeckt zu bleiben. Bei der aktuellen Kampagne seien Nutzer sogar von ihren eigentlichen Zielen ferngehalten worden. „Obwohl die Weiterleitungen unglaublich auffällig waren, berichtete kein befragter Nutzer von zu aufdringlichen Weiterleitungen“, ergänzte Kaya.

In dem Bericht von Duo Security findet sich auch eine vollständige Liste der schädlichen Erweiterungen. Google entfernte sie demnach nicht nur aus dem Chrome Web Store, sondern deaktivierte sie auch in den Browsern der Betroffenen. Dort sind sie zudem als „schädlich“ markiert, damit Nutzer sie entfernen können.