Ein aktueller Bericht des Sicherheitsforschers John Tuckner von der Firma Socket hat eine groß angelegte Kampagne zur Kaperung von Suchanfragen aufgedeckt, an der 319 Google-Chrome-Erweiterungen mit insgesamt 13,4 Millionen Downloads beteiligt waren. Diese Erweiterungen nutzen Browserberechtigungen aus, um die Suchanfragen von Nutzern über Proxyserver umzuleiten und so Werbeeinnahmen über Suchmaschinen wie Bing und Yahoo zu generieren.
Funktionsweise der Kaperung
Diese Erweiterungen basieren auf der Ausnutzung der Einstellung chrome_settings_overrides im Chrome-Browser, die es ihnen ermöglicht, die Standard-Suchmaschine des Nutzers ohne komplexe Programmierung zu ersetzen. In vielen Fällen enthalten die Erweiterungen keine Hintergrundskripte oder komplexen Inhalte, sondern begnügen sich mit einer Manifest-Datei und Symbolen, was es erleichtert, sie durch den Chrome Web Store zu schleusen.
Diese Erweiterungen tarnen sich als nützliche Tools wie PDF-Konverter, manuelle Suchwerkzeuge oder Erweiterungen für sichere Suche und künstliche Intelligenz. Obwohl sie im offiziellen Google-Store gehostet werden, sind sie oft nicht gelistet (Unlisted), was bedeutet, dass sie nicht in den Suchergebnissen innerhalb des Stores erscheinen, sondern stattdessen über irreführende Werbung auf externen Websites beworben werden.
Warum diese Nachricht wichtig ist?
Die Gefahr dieser Erweiterungen geht über bloßen Werbebetrug hinaus. Forscher warnen, dass die Betreiber dieses Netzwerks in der Lage sind, das Ziel der Umleitung jederzeit zu ändern, ohne die Erweiterung selbst aktualisieren zu müssen. Dies bedeutet, dass Benutzer plötzlich auf Phishing-Sites oder Seiten mit Schadsoftware umgeleitet werden können, wodurch diese Erweiterungen von unerwünschten Programmen zu direkten Sicherheitsbedrohungen werden.
Eine technische Analyse einer Erweiterung namens „Predator Search“ zeigte, dass dieselbe Suche jedes Mal zu unterschiedlichen Ergebnissen führen kann, da der Nutzer über eine Reihe von Zwischen-Domains geleitet wird, bevor er die endgültige Suchmaschine erreicht, was die vollständige Kontrolle der Betreiber über den Datenpfad bestätigt.
Was Benutzer tun sollten?
Obwohl Google die meisten dieser Erweiterungen nach ihrer Entdeckung entfernt hat, besteht die Bedrohung aufgrund des ständigen Aufttauchens neuer Erweiterungen fort. Experten empfehlen folgende Schritte:
- Sofortige Deinstallation aller unbekannten oder verdächtigen Erweiterungen.
- Durchführung eines vollständigen Systemscans mit einem zuverlässigen Antivirenprogramm.
- Vermeidung des Downloads von Erweiterungen aus unzuverlässigen Quellen oder über Pop-up-Werbung auf Websites.