Forschende des Unternehmens Socket haben einen Cluster aus 19 bösartigen Erweiterungen identifiziert – 18 für Google Chrome und eine für Microsoft Edge –, die nach vorliegenden Erkenntnissen Funktionen zum Diebstahl von Geheimnissen aus Kryptowährungs-Wallets und zur Abführung von Geldern enthalten. Die am weitesten verbreitete Erweiterung „Enable Right Click & Copy — Smart Unlock + OCR“ ist schätzungsweise bei rund 80 000 Nutzern installiert. Die unter der Bezeichnung Superior verfolgte Kampagne ist mutmaßlich seit Februar 2024 aktiv und nutzt den automatischen Update-Mechanismus von Erweiterungen, um bösartigen Code an Nutzer auszuliefern, die zuvor eine legitime Version installiert hatten.
Angriffsmechanismus: Vertrauen durch vermeintliche Legitimität
Die zentrale Taktik der Kampagne besteht darin, das Vertrauen in bereits installierte Erweiterungen auszunutzen. Laut Socket wurden von den 19 identifizierten Erweiterungen 5 von früheren Eigentümern übernommen und 14 vom Angreifer selbst erstellt und veröffentlicht. In beiden Fällen erfüllt die ursprüngliche Version der Erweiterung die beworbenen Funktionen ohne bösartige Aktivitäten. Erst nachdem eine ausreichende Nutzerbasis aufgebaut wurde, wird ein Update veröffentlicht, das den Schadcode enthält.
Dieser Ansatz ist aufgrund einer architektonischen Besonderheit des Chrome Web Store besonders gefährlich: Gemäß den Nutzungsbedingungen des Google-Erweiterungsstores können Updates von Erweiterungen automatisch heruntergeladen und installiert werden, ohne dass der Nutzer zusätzlich benachrichtigt wird. Damit erhält ein Nutzer, der eine sichere Version installiert hat, das bösartige Update ohne jegliche Interaktion. Diese Technik entspricht der Beschreibung von MITRE ATT&CK T1176.001 (Browser Extensions), bei der Erweiterungen zur Sicherung von Persistenz, zur Datenabgriffung und als Kommunikationskanal für die Steuerung eingesetzt werden.
Technische Fähigkeiten des Schadcodes
Den Untersuchungsergebnissen zufolge wird der Schadcode in die Erweiterungen eingebettet und führt folgende Aktionen aus:
- Entfernen von Content Security Policy (CSP)-Headern auf allen besuchten Seiten
- Einschleusen von JavaScript-Modulen auf Zielseiten über den Mechanismus der Content Scripts
- Aufbau einer permanenten WebSocket-Verbindung zu einem Command-and-Control-Server (C2)
Socket berichtet von der Entdeckung von 16 bösartigen Modulen, die sich auf folgende Kategorien verteilen:
- Wallet-Drainer-Modul für die Abführung von Geldern aus Multichain-Wallets
- Sammler von Seed-Phrasen aus Hardware-Wallets
- Sammler von Zugangsdaten zu Kryptobörsen und Wallets
- Universeller Abfänger von Zugangsdaten und Formularinhalten
- Module zum Diebstahl von Facebook- und LinkedIn-Konten
- Modul zum Diebstahl des Browserverlaufs
- ClickFix-Modul – Simulation eines Browser-Updates mit Anweisungen zum Kopieren und Einfügen eines bösartigen Befehls
Besondere Beachtung verdient die Steuerungsinfrastruktur. Nach Angaben des Socket-Forschers Carlo Zanki unterstützt das Loader-Framework die Rotation der Adressen der C2-Server auf Grundlage von Anweisungen, die vom primären Command-and-Control-Server empfangen werden. Der Endpunkt für die Exfiltration von Daten wird ebenfalls dynamisch zugewiesen, was potenziell die Einrichtung individueller Datenabflusskanäle für jedes Opfer ermöglicht. Es ist anzumerken, dass diese Aussagen auf einer einzigen Quelle beruhen und nicht durch öffentlich zugängliche Code-Samples, Traffic-Mitschnitte oder Domainnamen untermauert sind.
Kontext der Kampagne
Zuvor war die Erweiterung „QuickLens — Search Screen with Google Lens“ unabhängig voneinander von Forschenden von Annex Security und monxresearch-sec als in der Lage beschrieben worden, Malware auszuliefern, beliebigen Code einzuschleusen und vertrauliche Daten zu sammeln. DomainTools hat im Mai 2025 damit verbundene Aktivitäten dokumentiert, darunter die Erstellung gefälschter Websites, die legitime Dienste imitieren – Produktivitäts-Tools, VPN-Services, Krypto- und Banking-Utilities –, um Nutzer zur Installation bösartiger Erweiterungen zu verleiten.
Die Identität des Operators der Kampagne ist weiterhin unbekannt. Die Bezeichnung Superior ist ein von Socket vergebenes Forschungslabel und keine Attribution zu einer bekannten Gruppierung. Im Ausgangsmaterial wird behauptet, dass die Kampagne „seit mehr als zwei Jahren“ aktiv sei, gleichzeitig wird jedoch ein vermuteter Beginn im Februar 2024 angegeben – diese Zeitangaben stehen im Widerspruch zueinander, was eine vorsichtige Bewertung der Dauer der Operation erfordert.
Auswirkungsanalyse
Die Haupt-Risikogruppe bilden Inhaber von Krypto-Assets, die Browser-Wallets sowie Hardware-Wallets mit Web-Interfaces nutzen. Allerdings erweitert das Vorhandensein von Modulen zum Diebstahl von Facebook- und LinkedIn-Zugangsdaten sowie eines universellen Formularabfängers den Kreis potenzieller Opfer auf alle Nutzer, die eine der 19 Erweiterungen installiert haben. Das automatische Update bedeutet, dass selbst Nutzer, die die Erweiterung während ihrer legitimen Betriebsphase installiert haben, möglicherweise unbemerkt eine bösartige Version erhalten haben.
Empfehlungen zum Schutz
- Überprüfen Sie umgehend die installierten Erweiterungen in Chrome (
chrome://extensions) und Edge (edge://extensions) auf das Vorhandensein eines der 19 Identifikatoren, die im Socket-Bericht aufgeführt sind. Falls Sie fündig werden, entfernen Sie die Erweiterung und ändern Sie die Passwörter sämtlicher Konten, die in diesem Browser verwendet wurden. - Für Nutzer von Kryptowährungen: Wenn eine der genannten Erweiterungen installiert war, betrachten Sie alle Seed-Phrasen und Private Keys, auf die der Browser Zugriff hatte, als kompromittiert. Übertragen Sie Ihre Mittel auf neue Wallets, die auf einem nachweislich sauberen Gerät generiert wurden.
- Beschränken Sie automatische Erweiterungs-Updates in Unternehmensumgebungen über Chrome-Gruppenrichtlinien (
ExtensionSettings) – so lassen sich Versionen kontrollieren und Updates vor dem Roll-out prüfen. - Minimieren Sie die Anzahl installierter Erweiterungen und führen Sie regelmäßig Audits ihrer Berechtigungen durch. Erweiterungen mit Zugriff auf „alle Websites“ stellen das größte Risiko dar.
- Für Organisationen: Implementieren Sie Whitelists für zugelassene Erweiterungen und ein Monitoring von WebSocket-Verbindungen, die von Browser-Erweiterungen initiiert werden.
Die Kampagne Superior legt eine systemische Schwachstelle im Ökosystem der Browser-Erweiterungen offen: Der für die Nutzerfreundlichkeit entwickelte Mechanismus automatischer Updates wird zum Vektor für die Auslieferung von Schadcode. Die vordringlichste Maßnahme besteht darin, alle installierten Erweiterungen mit der Liste der 19 Identifikatoren abzugleichen und bei Übereinstimmungen sämtliche Zugangsdaten sowie kryptografischen Schlüssel zu ersetzen, auf die aus dem kompromittierten Browser zugegriffen werden konnte.
