Datenklau: Browser-Extension Nano Adblocker/Defender & Co. entfernen

[English]Nutzer des Google Chrome-Browsers oder dessen Chromium-Abkömmlinge (Google Chrome, Edge etc.), sowie von Firefox und Safari, sollte schauen, ob die Erweiterungen Nano Adblocker oder Nano Defender sowie weitere Komponenten aus dem Nano-Projekt installiert sind. Falls ja, entfernt diese Erweiterungen, denn das Projekt wurde verkauft und die neuen (türkischen) Entwickler haben offensichtlich damit begonnen, Schadfunktionen, die Daten abziehen, zu integrieren. Ergänzung: Google hat die Extensions entfernt.

Ich gestehe, ich habe es verbaselt, denn ich hatte am 16.10.2020 bereits einen Hinweis der Kollegen von deskmoder.de gelesen und wollte es kurz hier mit aufnehmen – ist aber unter einem Berg Themen verschippt gegangen. Jetzt ist mir das Thema die Nacht an zwei Stellen wieder auf die Füße gefallen, weshalb ich es mal aufbereite.

Worum geht es bei den Nano-Extensions?

Es handelt sich bei Nano Adblocker und Nano Defender um Browser-Erweiterungen für Browser, die Adblocker- und Schutz-Funktionen versprechen. Beide Erweiterung setzen auf dem sogenannten nano-Core auf, der Funktionen von uBlock Origin enthält. In den Readme-Dateien ist von 'upstream' die Rede, mit dem man den Code teile, wobei upstream auf die GitHub-Seite von uBlock Origin verlinkt, einem Projekt des Entwicklers Raymond Hill (gorhill).

Die beiden Erweiterungen Nano Adblocker und Nano Defender wurden, wenn meine Informationen stimmen, 2019 im Rahmen eines Nano-Projekts von einem Entwickler erstellt und für Chromium-basierende Browser sowie den Firefox und den Safari angeboten. Die Erweiterungen waren auch in den Stores für Google Chrome etc. verfügbar und haben wohl 300.000 Downloads erzielt.

Verkauf an zwei türkische Entwickler

Dem Entwickler der Nano-Core-Komponenten fehlte aber die Zeit, das Projekt weiter zu entwickeln – er schrieb, dass er zeitlich arg hinter upstream hinterher hänge. Ein Entwickler (jspenguin2017) im Nano-Core-Projekt schrieb Anfang Oktober 2020 in dieser GitHub-Ankündigung, dass er das Projekt verkauft habe. Ich ziehe es mal heraus, für den Fall, dass dieser Post gelöscht wird.

Important updates and disclaimers: The WebStore listings are no longer under my control. I am not responsible for the actions of the new developer(s). If you feel concerned about the recent changes (please continue reading for more information), please remember that you can uninstall the extensions and/or find alternatives at any time.

---

As some of you might have noticed, Nano Adblocker is now months behind upstream. It became clear that I simply do not have enough time to properly maintain the Nano projects.

At the beginning, there were no backlogs. As the projects grow, I added a backlog system to better manage open issues. That was unfortunately not enough, so I added another level of backlog — the triage queue. Then a third level. And a fourth one. Now the fourth level of backlog, the notification queue, has over 138 issues waiting for my attention. No matter how well I organize incoming issues, if I do not have enough time to look into them, I will simply fall further and further behind. With thousands of issues backlogged, it is only a matter of time that the Nano projects collapse.

And here comes the news. New developer(s) are in the process of acquiring Nano Adblocker and Nano Defender. Hopefully, they will be able to put an end to this backlog madness and finally give Nano Adblocker some real development time instead of constantly trying to catch up to upstream. The transition is still taking place, so I would like to ask for your patience. I will have more details about this in the upcoming days or weeks.

Kompakt zusammengefasst: Dem Entwicker fehlt die Zeit, das Projekt zu pflegen. Er hat das Projekt in die Hände neuer Entwickler gelegt, die aber bald ankündigten, eigene GitHub-Repositories zu erstellen. Damit befindet sich das Projekt nicht mehr unter der Kontrolle des ursprünglichen Entwickler.

Malware in den Erweiterungen

Vor einer guten Woche gab es auf diversen Webseiten, wo die Erweiterungen zu finden sind, den Hinweis, dass der Nano-Core und die Erweiterungen nicht mehr unter Kontrolle der ursprünglichen Entwickler seien. Raymond Hill (gorhill), der Entwickler von uBlock Origin dann den Quellcode der neuen Version (Nano Defender 15.0.0.206) inspiziert und gesehen, dass es eine Datei connect.js enthält. Diese ruft Code von * auf, so dass die Benutzeraktivitäten und Daten im Browser an Remote-Server übermittelt werden können. Darauf haben die Kollegen von deskmodder.de in diesem Artikel hingewiesen; die Ausführungen von gorhill lassen sich hier nachlesen.

Marc Stüttem hat mich dann in diesem Kommentar gestern an das Thema erinnert (danke dafür), und über obigen Tweet habe ich gesehen, dass  ArsTechnica diesen Artikel zum Thema veröffentlicht hat. Am 20. Oktober 2020 hat ein Sicherheitsexperte mit Namen Christopher Partridge das Ganze in diesem Blog-Beitrag aufgedröselt. Hier der Exzerpt:

Die folgenden Chrome-Erweiterungen wurden von einem Malware-Autor von ihren ursprünglichen Urhebern erworben, und alle Benutzer dieser Erweiterungen innerhalb des betroffenen Zeitrahmens sollten als gefährdet betrachtet werden, da die Erweiterungen von Chrome automatisch aktualisiert werden.

Chris listet folgende Erweiterung bzw. Komponenten auf, die man tunlichst von seinen Systemen entfernen sollte:

• User-Agent Switcher
• Nano Adblocker
• Nano Defender

Die Kollegen von deskmodder.de geben noch an, dass man auch die nachfolgenden Komponenten entfernen sollte:

• Nano Contrib Filter – Placeholder Buster
• Nano Defender Integration
• Nano filters
• Nano filters – Annoyance
• Nano filters – Whitelist

Denn diese Komponenten wurden ebenfalls verkauft. Martin Brinkmann hatte das bereits am 16. Oktober 2020 auf Ghacks.net in diesem Artikel detaillierter aufbereitet. Der oben verlinkte ArsTechnica-Beitrag fasst das nochmals zusammen. Insgesamt ist die Gemengelage ziemlich unübersichtlich, man muss also bei jeder Platform, wo die Extensions gehostet werden, nachsehen, ob der ursprüngliche Entwickler noch die Kontrolle besitzt. Auf ArsTechnica findet sich folgender Kommentar, den die Autoren hervorgehoben haben:

Zirconium Hacker Smack-Fu Master, in training

I was affected by this because I used Nano Defender to supplement uBlock Origin. It was completely unexpected that this open source extension would suddenly change hands, with no warning aside from some information on GitHub that I didn't read until it was too late. There is nothing I could have done… and now I have an Instagram account filled with likes that aren't mine. I'm glad that's all, I guess – they could have done much worse.

Generell würde ich an dieser Stelle postulieren: Mit Browser-Erweiterungen gibt der Nutzer die Kontrolle über seine Daten ab – und das Projekt als solches ist kompromittiert. Man kann eigentlich nur das ganze Zeug entfernen, egal aus welcher Quelle. Wisst ihr also jetzt Bescheid.

Ergänzungen: Inzwischen hat Google reagiert und hat die Nano Chrome-Erweiterungen entfernt – siehe diese Artikel bei heise. Zudem wurde es in den Kommentaren angesprochen: Extensions für andere Plattformen wie Firefox oder Safari seien nicht betroffen. Läuft etwas konträr zu meiner Empfehlung in obigem Absatz – die ich aber bewusst so formuliert habe. Denn wer gewährleistet denn, dass die betreffenden Extensions nicht längst den Besitzer gewechselt haben? Man kann nur darauf vertrauen, dass das, was auf den betreffenden Webseiten der Extensions steht auch so stimmt. Nur als Anmerkung.