Die von Socket beschriebene Kampagne setzt nicht auf frisch eingestellte Wegwerf-Erweiterungen, sondern auf bestehende Add-ons mit gewachsener Nutzerbasis. Viele der betroffenen Erweiterungen enthielten bei ihrer Veröffentlichung im Chrome Web Store keinerlei Schadcode und lieferten die versprochene Funktionalität. Erst später kippte das Verhalten: Fünf Erweiterungen wurden den Forschern zufolge von ihren ursprünglichen Entwicklern erworben und anschließend über automatische Updates mit Schadsoftware bestückt — ein Vorgang, der für die Nutzer unbemerkt abläuft.
Wie groß die Reichweite solcher Übernahmen sein kann, zeigt das Beispiel “Enable Right Click & Copy — Smart Unlock + OCR”. Die Erweiterung hatte zum Zeitpunkt der Umstellung auf Schadcode mindestens 70.000 Nutzer in Chrome und 10.000 Installationen in Edge. Google erkannte die Bedrohung nach Darstellung von Socket frühzeitig und entfernte die Erweiterung aus seinem Add-on-Marktplatz. Die Edge-Version war zum Zeitpunkt der Veröffentlichung des Socket-Berichts hingegen weiterhin verfügbar.
Technisch geht die Schadsoftware nach der Installation mehrstufig vor: Sie baut eine verschlüsselte WebSocket-Verbindung zu Befehlsservern (C2) auf, lädt darüber JavaScript-Module nach, entfernt die Content-Security-Policy-Header von jeder besuchten Website und schleust über versteckte HTML-Elemente bösartige Skripte in Webseiten ein. Das Entfernen der CSP-Header hebt dabei eine zentrale Schutzschicht des Browsers gegen fremde Skripte auf.
Socket beobachtete insgesamt 19 bösartige Module, die jeweils unterschiedliche Aufgaben erfüllen. Dazu zählen der Diebstahl von Kryptowährung, das Abgreifen sensibler Daten und des Browserverlaufs sowie das Einblenden von ClickFix-Ködern. Die Forscher beschreiben das Framework als “hochgradig erweiterbar” und warnen, dass es weitere, bislang nicht entdeckte Module enthalten könnte. Mit der Weiterentwicklung der Schadsoftware sei mit dem Nachladen neuer Schadmodule zu rechnen.
Zum Zeitpunkt der Veröffentlichung ist keine der bösartigen Erweiterungen mehr im Chrome Web Store verfügbar. Der Bericht von Socket enthält die vollständige Liste der in der Kampagne identifizierten Erweiterungs-IDs sowie die für die C2-Kommunikation genutzten Domains — ein Anhaltspunkt für Betroffene, die prüfen wollen, ob sie eines der Add-ons installiert hatten.
Wer eine der betroffenen Erweiterungen im Einsatz hatte, sollte davon ausgehen, dass die eigenen Zugangsdaten kompromittiert sind, und die Passwörter der genutzten Konten ändern. Nutzern mit Kryptowährungsbeständen, die möglicherweise von der Kampagne betroffen sind, empfehlen die Forscher, ihre Vermögenswerte so schnell wie möglich in eine neu erstellte Wallet zu übertragen.