Im Mittelpunkt der Analyse steht ModHeader Version 7.0.18 mit der Erweiterungs-ID idgpnmonknjnojddfkpgkljpfnnfcklj. Laut Stripe OLT erfüllt die Erweiterung weiterhin die beworbene Funktion, HTTP-Header zu bearbeiten. Im gleichen minimierten Hintergrundcode steckt jedoch ein zweites System: Beim ersten Start erzeugt es einen Geräte-Fingerabdruck und lädt einen fest eingebauten Verschlüsselungsschlüssel. Während des Surfens würde es die Domain jeder geöffneten Seite entnehmen, verschlüsseln und lokal speichern — bis zu 1000 unterschiedliche Domains.
Ein zeitgesteuerter Prozess sollte diese verschlüsselte Liste einmal täglich zusammen mit dem Fingerabdruck an api.stanfordstudies[.]com senden und die lokale Kopie anschließend löschen. Der Upload-Zeitpunkt wäre pro Installation versetzt, damit Browser nicht gleichzeitig Kontakt aufnehmen. Zu demselben Ablauf kamen laut Bericht auch getrennte Analysen von HackIndex für Version 7.0.18 und von Yunus Aydin für Version 7.0.17.
Entscheidend ist: Dieses Sammelmodul lief nur, wenn der Browser zu einem Eintrag in einer internen Erlaubnisliste passte. Diese Liste wurde jedoch leer ausgeliefert. Deshalb schlug die Prüfung jedes Mal fehl, und die Kette stoppte, bevor auch nur eine Domain gesammelt werden konnte. Stripe OLT betont aber, dass das Befüllen dieser Liste nur eine kleine Änderung per regulärem Update erfordert hätte — ohne neue Berechtigungen und ohne Interaktion der Nutzer. Verschlüsselungsschlüssel, Zieladresse, Zeitsteuerung und Speicherlogik waren bereits vorhanden.
Nicht alles blieb untätig. Bei Installation, Update und Deinstallation kontaktierte die Erweiterung eine zweite Domain, extensions-hub[.]com, und übermittelte dabei Produkt, Version und Browser. Zudem schrieb ein Skript, das auf jeder Seite läuft, bereits echte Metadaten von Anfragen unverschlüsselt in den lokalen Speicher. Dieser Teil war also nachweislich aktiv.
Laut Stripe OLT wurde das Design von automatisierten Prüfsystemen als risikoarm eingestuft, teils mit Werten bis 95 von 100. Die Forscher führen das auf mehrere Eigenschaften zurück: Die Daten liegen verschlüsselt vor, sodass Scanner nur Chiffretext sehen. Der Upload-Pfad ist durch die leere Liste blockiert, wodurch Sandboxes keinen Abfluss beobachten. Hinzu kommt, dass der schädliche Code in einen legitimen Codebestand minimiert eingebettet war, die Endpunkte keinen etablierten bösartigen Ruf hatten und eine signierte, weit verbreitete Erweiterung zunächst vertrauenswürdig wirkt. Eine Store-Signatur belege nur die Herkunft einer Datei, nicht ihr Verhalten.
Stripe OLT ordnete die Domains realer, gepflegter Infrastruktur zu. stanfordstudies[.]com hat nach Angaben der Forscher keine Verbindung zu Stanford, sondern ist eine umgewidmete ältere Domain vor einem OpenSearch-Backend. extensions-hub[.]com sei für Werbung eingerichtet. Zum Zeitpunkt der Analyse verwiesen beide API-Endpunkte auf denselben Amazon-Server; das passe zu einem Betreiber, beweise es aber nicht. Als schwache Hinweise nennen die Forscher eine chinesische Sprachumgebung in vereinfachtem Chinesisch, einen mit dem Zeichen „盐“ geschriebenen „Salt“-Marker und einen Mail-Anbieter mit Ursprung in China. Eine Gruppe benennen sie ausdrücklich nicht.
Warnzeichen gab es schon früher. ModHeader wurde 2023 dafür kritisiert, Werbung in Suchergebnisse einzuschleusen, und soll damals auf ein werbefinanziertes Modell umgestellt worden sein. Wer die Erweiterung übernommen hat, ist laut Bericht unbestätigt; Stripe OLT trifft dazu keine Aussage über den ursprünglichen Autor. Auf der ModHeader-Website wird weiterhin ein Werbeplan veröffentlicht, der angibt, keine Nutzerdaten zu sammeln. Der Entwickler hat sich bis zur Veröffentlichung nicht öffentlich zu den Befunden geäußert.
Für die Untersuchung empfiehlt Stripe OLT, stanfordstudies[.]com und extensions-hub[.]com auf DNS- und Proxy-Ebene zu blockieren und zu protokollieren sowie Logs nach der Erweiterungs-ID und nach POST-Anfragen an api.stanfordstudies[.]com/app/log zu durchsuchen. Das Unternehmen hat dafür sofort nutzbare KQL-Abfragen für Defender und Sentinel veröffentlicht.