Gefährliche chrome-erweiterungen: über 300.000 nutzer in die falle gelockt

Was ist aiframe und wie funktioniert die betrügerische kampagne?

Die Sicherheitsfirma LayerX hat eine betrügerische Kampagne aufgedeckt, die über 300.000 Google Chrome-Nutzer weltweit betrifft. Die Angreifer tarnen sich hinter gefälschten KI-Assistenten, um sensible Daten zu stehlen. Diese bösartigen Chrome-Erweiterungenversprechen Funktionen wie KI-gestützte Antworten und Übersetzungen, doch in Wirklichkeit stehlen sie Anmeldedaten, E-Mails und Browserdaten. Die Operation wird als AiFrame bezeichnet und stellt eine ernsthafte Bedrohung für die Online-Sicherheit dar.

Die betroffenen erweiterungen: ein überblick

Insgesamt wurden 30 Extensionen identifiziert, die Teil dieser bösartigen Infrastruktur sind. Sie kommunizieren alle mit Servern unter einem einzigen Domain. Besonders besorgniserregend ist, dass einige dieser Erweiterungen eine riesige Nutzerbasis erreichten, bevor sie aus dem Chrome Web Store entfernt wurden. Hier eine Liste der betroffenen Erweiterungen und ihrer Nutzerzahlen vor der Entfernung:

• Gemini AI Sidebar: 80.000 Nutzer
• AI Sidebar: 70.000 Nutzer
• AI Assistant: 60.000 Nutzer
• ChatGPT Translate: 30.000 Nutzer
• Weitere betroffene Erweiterungen mit geringerer Nutzerzahl

Gemeinsame basis: identische programmstrukturen

Die Analyse ergab, dass alle 30 betroffenen Erweiterungen eine fast identische JavaScript-Logik, die gleichen Berechtigungen und eine gemeinsame Backend-Infrastruktur aufweisen. Dies deutet auf eine koordinierte Kampagne hin, bei der die Angreifer versuchen, die Kontrolle über die Erweiterungen zu behalten und Updates zu vermeiden, um der Entdeckung zu entgehen.

Der trick: iframe-technik zur umgehung der sicherheitskontrollen

Anstatt die versprochenen KI-Funktionen lokal auszuführen, laden die Erweiterungen einen Iframe von einem externen Domain. Dies ermöglicht es den Betreibern, das Verhalten der Erweiterung dynamisch zu ändern, ohne neue Versionen einreichen zu müssen. Dadurch umgehen sie die üblichen Sicherheitsprüfungen des Chrome Web Stores. Diese Technik ist besonders heimtückisch, da sie die Erkennung erschwert.

Datenklau im hintergrund: gmail im visier

Im Hintergrund extrahieren die Erweiterungen Inhalte von besuchten Webseiten, einschließlich Anmeldeseiten. Ein Teil der Erweiterungen (15 von 30) konzentrierte sich gezielt auf Gmail. Sie lesen E-Mail-Inhalte direkt aus dem DOM (Document Object Model) aus und können sogar Entwürfe stehlen. Wenn Nutzer Funktionen wie KI-gestützte Antworten nutzen, werden die E-Mail-Texte an Server der Angreifer gesendet, außerhalb des Gmail-Sicherheitsbereichs.

Spracherkennung als zusätzliche angriffsoberfläche

Einige der betroffenen Erweiterungen integrierten Spracherkennung, um Audio aufzunehmen und es an externe Server zu senden. Dies stellt eine zusätzliche Bedrohung für die Privatsphäre dar, da sensible Gespräche und Informationen abgefangen werden könnten. Die Möglichkeit, Audio aufzunehmen und zu übertragen, erweitert das Spektrum der potenziellen Schäden erheblich.

Was sie jetzt tun sollten: schutzmaßnahmen und empfehlungen

LayerX hat eine Liste mit Indicators of Compromise (IOCs) veröffentlicht, die Ihnen helfen kann, festzustellen, ob Sie von dieser Kampagne betroffen sind. Hier einige Empfehlungen:

• Überprüfen Sie Ihre Chrome-Erweiterungen und entfernen Sie alle, die Ihnen unbekannt sind oder verdächtig erscheinen.
• Aktualisieren Sie Chrome auf die neueste Version, um von den neuesten Sicherheitsverbesserungen zu profitieren.
• Ändern Sie Ihre Passwörter für alle wichtigen Konten, insbesondere für Gmail und andere E-Mail-Dienste.
• Achten Sie auf phishing-E-Mails und verdächtige Links.