Erfassung von Suchanfragen: Jeder Tastenanschlag im Suchfeld wird an externe Server (s-85283.gotocdn[dot]com und s-82923.gotocdn[dot]com) gesendet. Dies erm\u00f6glicht ein Echtzeit-Profiling der Nutzerinteressen.<\/li>\n<\/ul>\nShadyPanda lernte dazu, wurde aggressiver und flog auf. Die Browser-Erweiterungen wurden innerhalb von Wochen oder Monaten nach ihrer Bereitstellung gemeldet und entfernt.<\/p>\n
Die Langzeitstrategie<\/h3>\n
Die Gruppe entwickelte f\u00fcnf Browser-Erweiterungen, wovon drei davon in den Jahren 2018\u20132019 hochgeladen wurden. Darunter befindet sich auch die Erweiterung Clean Master mit \u00fcber 200.000 Installationen. Alle Browser-Erweiterungen wurden jahrelang legal betrieben und erhielten den Status \"Empfohlen\" und \"Verifiziert\". Strategie war dre Aufbau von\u00a0Vertrauen, und Nutzer zu gewinnen.<\/p>\n
Nachdem mehr als 300.000 Installationen der Erweiterungen installiert wurden, startete ShadyPanda 2024 ein Update, welches b\u00f6sartigen Code beinhaltete. Die erm\u00f6glichte automatische Infektion \u00fcber den vertrauensw\u00fcrdigen Auto-Update-Mechanismus von Chrome und Edge. Alle f\u00fcnf Erweiterungen f\u00fchren nun identische Malware aus.<\/p>\n
Der letzte Schlag der Kampagne<\/h3>\n
Der gleiche Herausgeber hinter Clean Master in Edge \u2013 Starlab Technology \u2013 ver\u00f6ffentlichte um 2023 herum f\u00fcnf weitere Erweiterungen f\u00fcr Microsoft Edge, und konnte zusammen \u00fcber 4 Millionen Installationen verzeichneten.<\/p>\n
Koi schreibt zum 1.12.2025, dass alle diese Erweiterungen sind nach wie vor im Microsoft Edge-Marktplatz verf\u00fcgbar seien. Im Gegensatz zu den entfernten Erweiterungen aus Phase 3 ist diese \u00dcberwachungsoperation mit 4 Millionen Nutzern derzeit aktiv.<\/p>\n
Zwei der f\u00fcnf Erweiterungen sind umfassende Spyware. Das Flaggschiff, WeTab \u65b0\u6807\u7b7e\u9875 (WeTab New Tab Page), hat allein 3 Millionen Installationen und fungiert als ausgekl\u00fcgelte \u00dcberwachungsplattform, die als Produktivit\u00e4tswerkzeug getarnt ist. WeTab richtet sich wohl an chinesische Nutzer. Die Erweiterung sammelt und \u00fcbertr\u00e4gt umfangreiche Nutzerdaten an 17 verschiedene Domains (8 Baidu-Server in China, 7 WeTab-Server in China und Google Analytics).<\/p>\n
Fazit: Sieben Jahre der gleiche Ansatz<\/h2>\n
ShadyPanda reklamiert nicht nur technischer Raffinesse f\u00fcr sich, sondern fokussiert sich darauf, dieselbe Schwachstelle sieben Jahre lang systematisch auszunutzen. N\u00e4mlich den Umstand, dass Marktpl\u00e4tze f\u00fcr Extensionen Erweiterungen nur bei der Einreichung \u00fcberpr\u00fcfen. Die Marktpl\u00e4tze beobachten nicht, was nach der Genehmigung und Ver\u00f6ffentlichung per Update passiert.<\/p>\n
Der Auto-Update-Mechanismus in den Browser-Erweiterungen, der eigentlich die Sicherheit der Nutzer gew\u00e4hrleisten sollte, wurde zum Angriffsvektor. Die vertrauensw\u00fcrdige Update-Pipeline von Chrome und Edge lieferte den Nutzern unbemerkt Malware, schreiben die Sicherheitsforscher. Es ist kein Phishing, kein Social Engineering zur Malware-Verbreitung erforderlich, sondern nur die Kompromittierung der bisher vertrauensw\u00fcrdigen Erweiterungen.<\/p>\n
Die Sicherheitsforscher formulieren es so: ShadyPanda \"befindet sich seit \u00fcber einem Jahr in Ihrem Netzwerk\" und kontrolliert, was als N\u00e4chstes passiert: Session Hijacking, Sammeln von Anmeldedaten, \u00dcbernahme von Konten, Supply-Chain-Angriffe durch kompromittierte Entwickler. F\u00fcr Unternehmen bedeuten infizierte Entwickler-Workstations kompromittierte Repositorys und gestohlene API-Schl\u00fcssel. Durch die browserbasierte Authentifizierung bei SaaS-Plattformen, Cloud-Konsolen und internen Tools ist jede Anmeldung f\u00fcr ShadyPanda sichtbar. Infizierte Browser-Erweiterungen umgehen herk\u00f6mmliche Sicherheitskontrollen.<\/p>\n
Aus diesem Blickwinkel bin ich heilfroh, dass mein Ungoogled Chromium-Browser keine Installation von Erweiterungen zul\u00e4sst und ich erst gar nicht in Versuchung kam, so etwas auszuprobieren.<\/p>\n","protected":false},"excerpt":{"rendered":"
Sicherheitsforscher von Koi sind auf eine Kampagne gesto\u00dfen, bei der Cyberkriminelle Browsererweiterungen f\u00fcr Chrome und Edge \u00fcber sieben Jahre mit sch\u00e4dlichem Code infiziert wurden. Es sollten 4,3 Millionen Benutzer dieser Erweiterungen f\u00fcr Chrome und Edge betroffen sein.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[4461,1356,8537,426],"tags":[406,4201,24,4328],"class_list":["post-318954","post","type-post","status-publish","format-standard","hentry","category-edge","category-google-chrome-internet","category-problem","category-sicherheit","tag-chrome","tag-edge","tag-problem","tag-sicherheit"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/318954","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=318954"}],"version-history":[{"count":1,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/318954\/revisions"}],"predecessor-version":[{"id":318955,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/318954\/revisions\/318955"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=318954"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=318954"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=318954"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
![\"Edge\"](\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2020\/01\/Edge.jpg\" "\\"Edge\\"")
Sicherheitsforscher von Koi sind auf eine Kampagne gesto\u00dfen, bei der Cyberkriminelle Browsererweiterungen f\u00fcr Chrome und Edge \u00fcber sieben Jahre mit sch\u00e4dlichem Code infiziert wurden. Es sollten 4,3 Millionen Benutzer dieser Erweiterungen f\u00fcr Chrome und Edge betroffen sein.<\/p>\n![\"Malware](\"https:\/\/i.postimg.cc\/MGfVtM3S\/image.png\")
<\/p>\n