Die von Socket beschriebene Kampagne ist kein Einzelfund. Die Erweiterung “QuickLens - Search Screen with Google Lens” war bereits zuvor von Annex Security und monxresearch-sec beanstandet worden; die Analysen beschrieben, wie das Add-on Schadsoftware an nachgelagerte Nutzer ausliefert, beliebigen Code einschleust und sensible Daten abgreift. Die aktuellen Erkenntnisse deuten darauf hin, dass die Aktivität deutlich breiter angelegt ist als bislang angenommen.
Teile der Kampagne hatte DomainTools Investigations bereits im Mai 2025 dokumentiert. Damals legten die Angreifer gefälschte Webseiten an, die sich als legitime Dienste, Produktivitätswerkzeuge, Assistenten für Werbung, Medienerstellung oder Analyse, VPN-Anbieter sowie Krypto- und Banking-Hilfsprogramme ausgaben, um Nutzer zur Installation der schädlichen Erweiterungen aus dem Chrome Web Store zu bewegen. “Die Erweiterungen haben typischerweise eine doppelte Funktion: Sie scheinen im Wesentlichen wie vorgesehen zu arbeiten, verbinden sich aber zugleich mit bösartigen Servern, um Nutzerdaten zu senden, Befehle zu empfangen und beliebigen Code auszuführen”, so DomainTools Investigations.
Jede der Erweiterungen kann Kontakt zu einem Command-and-Control-Server aufnehmen und eine dauerhafte WebSocket-Verbindung aufbauen. Bemerkenswert ist dabei die Flexibilität der Infrastruktur: “Das Ladeframework unterstützt die Rotation des C2-Endpunkts auf Basis von Anweisungen des ursprünglichen C2-Servers, und dieses Verhalten wurde in freier Wildbahn beobachtet”, erklärt Zanki. Damit könnten die Täter Opfer auf verschiedene Gruppen und eigene C2-Infrastruktur verteilen und so das Entdeckungsrisiko senken. Auch der Endpunkt für die Datenabflüsse werde dynamisch über die C2-Anweisungen zugewiesen, was einen eigenen Exfiltrationskanal je Opfer ermöglicht.
Wie schon bei QuickLens entfernt der eingebettete Schadcode die Content-Security-Policy-Header von jeder aufgerufenen Seite und erlaubt so das Einschleusen von JavaScript-Modulen auf ausgewählten Webseiten über Content-Skripte. Insgesamt haben die Forscher 16 solcher Module identifiziert. Eines davon, das ClickFix-Modul, blendet ein gefälschtes Browser-Update ein und nutzt betriebssystemspezifische Anleitungen, um Nutzer dazu zu bringen, einen schädlichen Befehl zu kopieren und einzufügen.
Wer hinter der Kampagne steckt, ist unklar. Dass die Gruppe seit mehr als zwei Jahren erfolgreich operiert, wertet Socket als Hinweis auf einen “sehr fähigen Angreifer”. Als größtes Risiko für Endnutzer bezeichnet Zanki die Methode der Übernahme: “Das größte Risiko für Endnutzer ist die Vorgehensweise, bei der der Angreifer erfolgreich legitime Erweiterungen erwirbt und neue Versionen mit bösartiger Funktionalität veröffentlicht.” In Kombination mit den Standardeinstellungen von Chrome, die Erweiterungen automatisch auf die jeweils neueste Version aktualisieren, entstehe daraus ein wirkungsvoller Verbreitungsweg, mit dem sich Reichweite und Wirkung der übernommenen Erweiterungen maximieren ließen.