Backdoor in Chrome-Erweiterungen: Wie Produktivitätstools zum Angriffsvektor für Unternehmen werden

Chrome-Erweiterungs-Backdoor: Wie Produktivitätstools zum Angriffsvektor für Unternehmen werden

Im Dezember 2024 stellten Millionen von Nutzern fest, dass ihre Chrome-Erweiterungen über Nacht zu Datendiebstahl-Malware geworden waren. Die Angreifer gingen nicht über Hackerangriffe oder Exploit-Ausnutzung vor, sondern auf eine weitaus heimlichere Weise: böswillige Übernahmen. Kriminelle Netzwerke kauften systematisch beliebte Chrome-Erweiterungen von legitimen Entwicklern und schoben dann über Updates Schadcode, um Produktivitätstools in Überwachungsplattformen zu verwandeln. Diese Erweiterungen waren keine zufälligen Browser-Plugins; viele zielten gezielt auf Unternehmensnutzer, Firmenanmeldedaten und sensible Geschäftsdaten ab. Browser-Erweiterungen sind zum am meisten unterschätzten Angriffsvektor in der Unternehmenssicherheit geworden.

Ereignisübersicht: Vom „Produktivitätstool" zur „Datendiebstahl-Software"

Am 25. Dezember 2024 wurde im Weihnachtsupdate der Unternehmens-Datensicherheitserweiterung Cyberhaven bösartiger Code entdeckt, der Authentifizierungstoken und Nutzeranmeldedaten stehlen sollte. Der Vorfall wurde zuerst vom Sicherheitsunternehmen CloudSEK entdeckt, während Google ihn nicht rechtzeitig bemerkte. Fast zur gleichen Zeit wurde die VPN-Erweiterung VPNCity mit 1,5 Millionen Nutzern mit Schadcode infiziert, der Browserdaten sammelte. Die KI-Assistent-Erweiterung Parrot Talks wurde nach einem Eigentümerwechsel zu einem Anmeldedaten-Dieb umgebaut, der auf die Gmail- und Social-Media-Konten der Nutzer abzielte. Auch die Video-Verbesserungs-Erweiterung Particle YouTube wurde vom neuen Eigentümer um ein Kryptowährungs-Mining-Modul erweitert. Nachfolgend eine kurze Liste der betroffenen Erweiterungen:

| Erweiterungsname | Typ | Nutzerbasis | Hauptauswirkung | | --- | --- | --- | --- | | Cyberhaven | Unternehmens-Datensicherheit | Nicht offengelegt | Stehlen von Authentifizierungstoken und Unternehmensanmeldedaten | | VPNCity | VPN | 1,5 Millionen | Schadcode-Injektion zum Sammeln von Browserdaten | | Parrot Talks | KI-Assistent | Nicht offengelegt | Stehlen von Gmail- und Social-Media-Konto-Anmeldedaten | | Particle YouTube | Video-Verbesserung | Nicht offengelegt | Hinzufügen von Kryptowährungs-Mining-Code |

Diese Fälle haben eines gemeinsam: Die Erweiterungen liefen jahrelang unter legitimen Entwicklern, sammelten hohe Bewertungen und eine große Nutzerbasis und wurden dann böswillig übernommen und zu Angriffsvektoren.

Technische- und Risikoanalyse: Die fünfteilige Angriffskette der böswilligen Übernahme

Solche Angriffe sind keine zufälligen Einbrüche, sondern organisierte, schrittweise „Übernahme-Angriffe". Die Angriffskette umfasst fünf entscheidende Phasen:

Zielidentifizierung: Angreifer suchen nach Erweiterungen mit folgenden Merkmalen: große Nutzerbasis (Hunderttausende bis Millionen), hohe Bewertungen und Rezensionen (um glaubwürdig zu wirken), sensible Berechtigungen (wie Cookies, Browserverlauf, Seiteninhalte usw.), hohe aktive Nutzungsfrequenz und idealerweise eine Unternehmensnutzerbasis.Kontakt zum Entwickler: Angreifer geben sich als legitime Käufer aus und kontaktieren Entwickler über „Übernahme“, „Kooperation“ oder „Monetarisierungsvorschläge“. Die Angebote liegen in der Regel zwischen mehreren Zehntausend und über hunderttausend US-Dollar. Viele Entwickler sind unabhängige Entwickler oder kleine Teams, die attraktiven Angeboten wenig Widerstand entgegensetzen können; einige wissen nicht einmal, an wen sie verkaufen.

Eigentumsübertragung: Sobald die Transaktion abgeschlossen ist, geht das Eigentum am Google-Konto auf den Angreifer über. Während dieses Prozesses erhalten Nutzer keine Benachrichtigung, und Google führt auch keine Überprüfung des neuen Eigentümers durch. Das bedeutet, dass eine ursprünglich sichere Erweiterung innerhalb von Tagen vollständig den Kontrollinhaber wechseln kann.

Verteilen bösartiger Updates: Der neue Eigentümer veröffentlicht ein scheinbar normales „kleines Update“, fügt aber in Wirklichkeit Funktionen zur Datenerfassung in den Code ein. Diese Updates können Folgendes umfassen: Hinzufügen von API-Aufrufen zur Datensammlung, Einschleusen von Skripten zum Stehlen von Anmeldeinformationen, Einrichten von Command-and-Control-Kanälen (C2), Übernehmen von Cookies und Sitzungstokens, Massenexport von Browserverlauf und Formulardaten.

Daten gewinnbringend nutzen: Die gestohlenen Daten bieten vielfältige Monetarisierungsmöglichkeiten: Verkauf auf Darknet-Märkten für Unternehmenszugangsdaten, Nutzung für Session-Hijacking und Zugriff auf Unternehmenssysteme, gezielte Phishing-Angriffe auf Basis von Kontaktlisten, als initialer Zugang für Ransomware-Angriffe und sogar für Spionageaktivitäten staatlich geförderter Advanced-Persistent-Threat-Gruppen.

Die Heimlichkeit dieses Angriffs liegt darin, dass der schädliche Code über den Update-Mechanismus legitimer Erweiterungen verbreitet wird und die Erweiterung vor dem Eigentümerwechsel bereits Vertrauen aufgebaut hat. Herkömmliche Sicherheitstools erkennen oft nur Binärdateien oder anomalisches Verhalten und haben keine Überwachungsmöglichkeit für den in der Erweiterung ausgeführten JavaScript-Code, weshalb sie den Angriff in der Frühphase nur schwer entdecken können.

Analyse der Unternehmensauswirkungen: Risikoausbruch auf mehreren Ebenen

Für Unternehmen gehen die Auswirkungen einer mit Hintertüren versehenen Browsererweiterung weit über die Offenlegung persönlicher Daten hinaus.

• Betriebsrisiko: Bösartige Erweiterungen im Browser von Mitarbeitern können Zugangsdaten zu internen Systemen stehlen; Angreifer nutzen dies für laterale Bewegungen, greifen auf Projektdokumente, E-Mail-Systeme oder sogar IT-Verwaltungskonsolen zu und verursachen Betriebsunterbrechungen oder Datenlöschung.
• Finanzielles Risiko: Datenschutzverletzungen können Klagen, behördliche Geldstrafen und Kundenentschädigungen auslösen; zusammen mit Verlusten durch Geschäftsstillstand können die Summen mehrere Millionen US-Dollar erreichen. Bei börsennotierten Unternehmen kann es zudem zu Kursschwankungen kommen.
• Compliance-Risiko: Wenn die Offenlegung Daten von EU-Bürgern betrifft, könnte die DSGVO verletzt werden; im Finanz- und Gesundheitssektor können spezifische regulatorische Anforderungen wie PCI DSS oder HIPAA berührt werden, was strenge Prüfungen und Strafen zur Folge haben kann.
• Markenrisiko: Kunden und Partner könnten die Fähigkeit des Unternehmens zum Datenschutz in Frage stellen, was zu einem Vertrauensverlust in die Marke und zum Verlust künftiger Geschäftsmöglichkeiten führt.
• Datenrisiko: Alle über den Browser übertragenen sensiblen Informationen, einschließlich Anmeldedaten, Kundendaten, Quellcode und strategischen Dokumenten, können nach außen gelangen.Besonders beunruhigend ist, dass viele Unternehmensmitarbeiter eigenständig scheinbar nützliche Erweiterungen installieren, die möglicherweise nicht von der IT-Abteilung genehmigt wurden und so einen blinder Fleck in der Sicherheit entstehen lassen.

Branchentrend: Der Aufstieg von Supply-Chain-Angriffen auf Erweiterungen

Dieser Vorfall ist kein Einzelfall, sondern ein Beispiel aus einer Reihe ähnlicher Angriffe zwischen 2024 und 2025. Sicherheitsforschungseinrichtungen haben dutzende Fälle dokumentiert, in denen bösartige Erweiterungen durch Übernahmen verbreitet wurden. Dass Angreifer sich diesem Bereich zuwenden, liegt an offensichtlichen Vertrauenslücken im Ökosystem der Browsererweiterungen: Das Prüfverfahren der offiziellen App-Stores legt mehr Wert auf Form als auf Substanz und bietet kaum Aufsicht über Eigentümerwechsel von Erweiterungen; Entwicklern fehlt oft das Sicherheitsbewusstsein, sodass sie leicht käuflich sind; Die unternehmenseigene Sicherheitsabwehr bezieht Erweiterungen selten in ihre Überwachung ein.

Dieser Trend deckt sich mit der breiteren Welle von Supply-Chain-Angriffen. Von SolarWinds bis zu den heutigen Chrome-Erweiterungen tendieren Angreifer zunehmend dazu, stark vertrauenswürdige Glieder der Software-Lieferkette anzugreifen, um mit minimalem Aufwand maximalen Nutzen zu erzielen. Mit der zunehmenden Einführung von SaaS und Zero-Trust-Architekturen in Unternehmen ist der Browser de facto zum wichtigsten Geschäftswerkzeug geworden – und er wird zwangsläufig zum Hauptschlachtfeld der Angreifer. Es ist absehbar, dass Supply-Chain-Angriffe auf Erweiterungen häufiger und raffinierter werden.

Empfehlungen zu Verteidigung und Gegenmaßnahmen

Angesichts dieser neuen Bedrohung müssen Unternehmen Browsererweiterungen in ihr gesamtes Sicherheitsgovernance-Rahmenwerk einbeziehen und die folgenden Maßnahmen ergreifen:

• Einrichtung einer Allowlist: Über Gruppenrichtlinien oder Mobile Device Management (MDM) dürfen nur Erweiterungen installiert werden, die vom Sicherheitsteam genehmigt wurden; alle anderen nicht autorisierten Installationen werden blockiert.
• Regelmäßige Prüfung von Erweiterungen: Scannen Sie regelmäßig die Erweiterungslisten in den Browsern der Mitarbeiter, achten Sie auf Eigentümerwechsel, Update-Häufigkeit und darauf, ob die angeforderten Berechtigungen über den geschäftlichen Bedarf hinausgehen, und entfernen Sie verdächtige oder redundante Erweiterungen rechtzeitig.
• Einsatz von Browser-Sicherheitstools: Stellen Sie spezielle Browser-Sicherheitslösungen bereit, die das Verhalten von Erweiterungen in Echtzeit überwachen, z. B. anomalen Datentransfer nach außen, Domänenzugriffe, JavaScript-Ausführung usw., und binden Sie diese an die SOC-Eventmanagement-Plattform an.
• Kontrolle der minimalen Rechte: Verlangen Sie, dass Erweiterungen nur die für ihre Funktionalität unbedingt erforderlichen Mindestberechtigungen beantragen; verbieten Sie Erweiterungen den Zugriff auf geschäftsrelevante Daten wie Cookies, Browserverlauf usw.
• Stärkung der Endpunktverteidigung: Setzen Sie auf Endpunkten EDR-/XDR-Produkte ein, die Browserereignisse überwachen, und verknüpfen Sie das Erweiterungsverhalten mit UEBA-Systemen (User Entity and Behavior Analytics).
• Entwicklung von Notfallplänen: Nehmen Sie Hintertür-Szenarien für Erweiterungen in den Incident-Response-Plan auf, einschließlich Schritten wie schnelle Isolierung des Endgeräts, Widerruf betroffener Sitzungen und Rollback von Erweiterungsversionen.
• Durchführung von Sicherheitsschulungen: Erläutern Sie den Mitarbeitern die Risiken von Browsererweiterungen und ermutigen Sie sie, Tools über offizielle Unternehmenskanäle zu beantragen, anstatt sie selbst herunterzuladen.

SecurityPost Insight Der Chrome-Erweiterungs-Backdoor-Vorfall ist ein wichtiges Branchensignal: Die Lieferkettensicherheit ist nun auch in den aufstrebenden Bereich der Browsererweiterungen vorgedrungen. Die Kernaussage dieses Vorfalls ist, dass selbst ein weit verbreitetes und vertrauenswürdiges Tool durch einen heimlichen Eigentümerwechsel augenblicklich zu einem Sprungbrett für Angriffe werden kann. Für die Unternehmenssicherheit ist die Lehre daraus, dass man sich nicht allein auf die Prüfung durch die App-Stores verlassen darf und den Browser keinesfalls als außerhalb der Sicherheitsgrenze betrachten sollte. In Zukunft werden die Sicherheitsüberprüfung von Browsererweiterungen, die Transparenz von Eigentümerwechseln und die Überwachung des dynamischen Verhaltens immer wichtiger. Unternehmen müssen eine Nullvertrauens-Philosophie verfolgen, Erweiterungen als potenziell kompromittierte Komponenten behandeln und ein Sicherheitssystem aufbauen, das Bedrohungen kontinuierlich überwacht und darauf reagiert. Dieses Ereignis ist nicht nur ein erneutes Auftreten von Angriffen, sondern erinnert CISOs daran, die Definition von „vertrauenswürdiger Software“ zu überdenken.