{"id":187851,"date":"2017-02-24T10:44:32","date_gmt":"2017-02-24T09:44:32","guid":{"rendered":"http:\/\/www.borncity.com\/blog\/?p=187851"},"modified":"2022-08-10T12:11:45","modified_gmt":"2022-08-10T10:11:45","slug":"malware-kommt-als-google-chrome-erweiterung","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2017\/02\/24\/malware-kommt-als-google-chrome-erweiterung\/","title":{"rendered":"Malware kommt als Google Chrome-Erweiterung"},"content":{"rendered":"<p><img loading=\"lazy\" decoding=\"async\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2015\/01\/Schutz.jpg\" width=\"40\" align=\"left\" height=\"47\"\/>Zum Wochenabschluss noch eine Warnung an Nutzer des Google Chrome, die gerne Chrome-Erweiterungen verwenden. In einer Malware-Kampagne versuchen Cyber-Kriminelle mit einem trickreichen Ansatz eine unsaubere Chrome-Erweiterung unter die Nutzer zu bringen. Es reicht der Besuch einer kompromittierten Webseite, um die Erweiterung untergejubelt zu bekommen. <\/p>\n<p><!--more--><\/p>\n<p><img loading=\"lazy\" decoding=\"async\" alt=\"\" src=\"https:\/\/ssl-vg03.met.vgwort.de\/na\/827bb113d5a042ac8d0f9aee4e0e55b5\" width=\"1\" height=\"1\"\/>Der Angriff im Rahmen der Malware-Kampagne richtet sich gezielt an Nutzer des Google Chrome. Besuchen die Nutzer eine kompromittierte Webseite, und wird der Google Chrome am User Agent-String identifiziert, kann der Nutzer diese Webseite nicht mehr verlassen. Vielmehr wird er aufgefordert, eine Chrome-Erweiterung zu installieren. Nachfolgend wird der Angriff in einem Screenshot demonstriert \u2013 das im Vordergrund sichtbare Dialogfeld informiert den Benutzer, dass er die Erweiterung installieren muss, um die Webseite verlassen zu k\u00f6nnen. <\/p>\n<p><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/web.archive.org\/web\/20170717111511\/https:\/\/blog.malwarebytes.com\/wp-content\/uploads\/2017\/02\/traffic.png\" width=\"613\" height=\"377\"\/><br \/>(Quelle: MalwareBytes)<\/p>\n<p>Der Benutzer k\u00f6nnte dann den Google Chrome zwar im Task-Manager abschie\u00dfen. Aber das wissen die Nutzer meistens nicht. Stimmt der Nutzer der Installation der Chrome Erweiterung zu, versteckt sich diese unter einem 1\u00d71 Pixel gro\u00dfen Bild in der Seite mit den installierten Chrome-Erweiterungen. Gleichzeitig f\u00e4ngt die Erweiterung die Befehle <em>chrome:\/\/extensions<\/em> und <em>chrome:\/\/settings<\/em> im Browser ab. Der Versuch, diese aufzurufen, f\u00fchrt zu einer Umleitung auf <em>chrome:\/\/apps<\/em>. <\/p>\n<p><img decoding=\"async\" src=\"https:\/\/web.archive.org\/web\/20170717110039\/https:\/\/blog.malwarebytes.com\/wp-content\/uploads\/2017\/02\/redirection2.gif\"\/><br \/>(Quelle: MalwareBytes)<\/p>\n<p>Das obige animierte Bild zeigt die Apps-Seite (der erste Eintrag scheint leer zu sein, ist aber von der Erweiterung mit dem 1&#215;1 Pixel belegt). Gibt man einen der URL-Befehle zum Zugriff auf die Extensions ein, landet man wieder bei der Liste der Chrome-Extensions. Das macht es f\u00fcr normale Nutzer schwierig, zu erkennen, welche Chrome-Erweiterungen vorhanden sind. <\/p>\n<p><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/web.archive.org\/web\/20170717113129\/https:\/\/blog.malwarebytes.com\/wp-content\/uploads\/2017\/02\/TSS1.png\" width=\"624\" height=\"418\"\/><br \/>(Quelle: MalwareBytes)<\/p>\n<p>Zweck der Chrome-Erweiterung, die \u00fcber einen C&amp;C-Server mit Befehlen versorgt werden kann, ist die Anzeige von Werbung (Ad Fraud) und der Versuch, den Nutzer mit angeblichen Computerfehlern (Tech Scam) zum Anruf einer Support-Nummer zu bewegen. Weitere Details sind bei MalwareBytes in diesem englischsprachigen <a href=\"https:\/\/blog.malwarebytes.com\/threat-analysis\/2017\/02\/rogue-chrome-extension-pushes-tech-support-scam\/\" target=\"_blank\" rel=\"noopener\">Blog-Beitrag<\/a> dokumentiert. <\/p>\n","protected":false},"excerpt":{"rendered":"<p>Zum Wochenabschluss noch eine Warnung an Nutzer des Google Chrome, die gerne Chrome-Erweiterungen verwenden. In einer Malware-Kampagne versuchen Cyber-Kriminelle mit einem trickreichen Ansatz eine unsaubere Chrome-Erweiterung unter die Nutzer zu bringen. Es reicht der Besuch einer kompromittierten Webseite, um die &hellip; <a href=\"https:\/\/borncity.com\/blog\/2017\/02\/24\/malware-kommt-als-google-chrome-erweiterung\/\">Weiterlesen <span class=\"meta-nav\">&rarr;<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1356,426],"tags":[5948,984,1018],"class_list":["post-187851","post","type-post","status-publish","format-standard","hentry","category-google-chrome-internet","category-sicherheit","tag-erweiterung","tag-google-chrome","tag-malware"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/187851","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=187851"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/187851\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=187851"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=187851"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=187851"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}