Session Replay: Google entfernt 89 spionierende Erweiterungen aus Chrome Web Store

Sie kommen zusammen auf 420.000 Downloads. Die Droidclub genannten Erweiterungen spähen Nutzer über Session-Replay-Skripte aus. Zudem schürfen sie die Kryptowährung Monero.

Cyberkriminellen ist es erneut gelungen, die Sicherheitsvorkehrungen für den Chrome Web Store zu umgehen und Google schädliche Erweiterungen für seinen Browser Chrome unterzuschieben. Insgesamt 89 Erweiterungen entfernte Google kürzlich aus seinem offiziellen Marktplatz, die Nutzer zu dem Zeitpunkt bereits in 420.000 Instanzen des Google-Browsers installiert hatten. Sie enthielten einen Miner für die Kryptowährung Monero sowie sogenannte Session-Replay-Skripte zum Ausspionieren des Browserverlaufs.

Chrome (Bild: Google)Entdeckt wurden die Droidclub genannten Erweiterungen vom Sicherheitsanbieter Trend Micro. Im Gegensatz zu Analytics-Anbietern nutzen sie die Session-Replay-Skripte jedoch nicht für Marktforschungs- oder Werbezwecke, sondern um jegliche Internetaktivitäten ihrer Opfer zu überwachen. Die Skripte erfassen nämlich jede Tastatureingabe und Mausbewegung inklusive Bildlauf sowie alle Inhalte von besuchten Websites, was es erlaubt, alle Interaktionen mit einer Seite nachzuvollziehen.

„Diese Skripte werden in alle Websites eingeschleust, die ein Nutzer besucht“, sagte Joseph Chen, Fraud Analyst bei Trend Micro. „Die Bibliotheken werden benutzt, um den Besuch eines Nutzers auf einer Website wiederzugeben, damit der Eigentümer sehen kann, was der Besucher gesehen und eingegeben hat.“ Schon zuvor hätten Sicherheitsforscher vor einem Missbrauch der Session-Replay-Bibliotheken gewarnt. Droidclub sei nun das erste konkrete Beispiel.

Die schädliche Bibliothek mit den Session-Replay-Skripten versteckten die Hintermänner in harmlos anmutenden Erweiterungen, die sich mit Kochrezepten und Wohnungseinrichtungen beschäftigten. Die Verbreitung erfolgte über eine Mischung aus Malvertising und Social Engineering: als Anzeigen getarnte Fehlermeldungen sollten Nutzer zur Installation einer Erweiterung aus dem Chrome Web Store verleiten, um nicht verfügbare Inhalte anzuzeigen.

Laut Trend Micro waren die 89 Erweiterungen auch in der Lage, ihre Deinstallation zu verhindern. Ein entsprechender Versuch des Nutzers endete mit einer gefälschten Meldung über die angebliche Löschung der Erweiterung. Zudem waren Nutzer nicht der Lage, die Erweiterung bei Google zu melden. Sie landeten stattdessen auf einer Seite, auf der die fragliche Erweiterung vorgestellt wurde.

Google hat die Droidclub-Erweiterungen inzwischen aus dem Chrome Web Store entfernt. Zudem bestätigte das Unternehmen gegenüber Trend Micro, dass die Erweiterungen auch auf allen Geräten betroffener Nutzer deaktiviert wurden.

Erst vor rund drei Wochen hatte Google nach Hinweisen eines Sicherheitsanbieters vier schädliche Chrome-Entfernungen blockiert. Sie wurden für Klickbetrug benutzt, was mehr als 500.000 Nutzer betraf.

Whitepaper

Die Vorteile der Zentralisierung von PC- und Mac-Management an einem Ort

Mac-Computer werden immer beliebter. IT-Abteilungen stehen vor der Aufgabe, diese Geräte zu verwalten und tun sich damit oft schwer. Welche Vorteile die Zentralisierung von PC- und Mac-Management an einem Ort bietet, erklärt dieses Whitepaper.

[mit Material von Liam Tung, ZDNet.com]

Tipp: Wie gut kennen Sie sich mit Browsern aus? Testen Sie Ihr Wissen – mit dem Quiz auf silicon.de.

Themenseiten: Browser, Chrome, Cybercrime, Google, Security, Sicherheit

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

ZDNet für mobile Geräte
ZDNet-App für Android herunterladen ZDNet-App für iOS

Artikel empfehlen:

Neueste Kommentare 

1 Kommentar zu Session Replay: Google entfernt 89 spionierende Erweiterungen aus Chrome Web Store

Kommentar hinzufügen
  • Am 6. Februar 2018 um 20:56 von Willi Timm

    Vor etwa zwei Wochen habe ich ein neues Nokia 5 Smartphone mit Google Chrome eingerichtet.
    Kann ich davon ausgehen, dass die Session-Replay-Skripte auch nach dem oben genannten Termin von Google bei mir entfernt wurden?
    Bzw. wie kann ich dies in Smartphone überprüfen und gibt es eine Liste der betroffenen Erweiterungen. Mit den Namen der Skripte könnte ich diese evtl. über meine Kaspersky Total Security blockieren oder die Erweiterungen löschen.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *