AiFrame-Kampagne: 30 Chrome-Erweiterungen mit Datendiebstahl-Funktion entdeckt

Worum geht’s?

Sicherheitsexperten haben eine umfangreiche Angriffswelle auf Chrome-Nutzer dokumentiert: Etwa 30 Browser-Erweiterungen, die sich als nützliche KI-Assistenten ausgaben, sammelten im Hintergrund sensible Nutzerdaten. Die als AiFrame-Kampagne bezeichnete Operation erreichte mehr als 260.000 Installationen und konnte trotz ihrer schädlichen Funktion die Sicherheitsprüfungen des offiziellen Chrome Web Store durchlaufen.

Die betroffenen Add-ons traten als praktische Helfer für Übersetzungen, Textverarbeitung oder E-Mail-Management auf. Tatsächlich verfügten alle über eine identische Codebasis und Infrastruktur, die auf Datendiebstahl ausgelegt war. Besonders problematisch: Mehrere der Erweiterungen erhielten zeitweise sogar eine Empfehlungsmarkierung im offiziellen Store, was das Vertrauen potenzieller Opfer zusätzlich stärkte.

Hintergrund & Einordnung

Die Angreifer setzten auf eine ausgeklügelte Technik: Die Erweiterungen injizierten vollflächige Iframes, die von extern kontrollierten Servern gesteuert wurden. Diese unsichtbaren Rahmen ermöglichten es den Hintermännern, Browser-Aktivitäten zu überwachen und sensible Informationen abzufangen, darunter Zugangsdaten und Banking-Informationen. Die Add-ons forderten dabei weitreichende Berechtigungen an, insbesondere den Zugriff auf alle geöffneten Browser-Tabs.

Um glaubwürdig zu erscheinen, arbeiteten die Betreiber mit manipulierten Nutzerbewertungen und professionell gestalteten Beschreibungen. Nach der Entfernung einzelner Erweiterungen tauchten umgehend neue Varianten mit geänderten Namen und Identifikationsnummern auf – eine Taktik, die in Fachkreisen als „Extension Spraying“ bekannt ist. Besonders gefährdet waren Nutzer von E-Mail-Diensten wie Gmail, da mehrere der schädlichen Tools gezielt auf diese Plattformen zugeschnitten waren.

Die Kampagne verdeutlicht eine wachsende Bedrohung im Bereich Browser-Erweiterungen. Während die KI-Funktionalität als Köder diente, wurden personenbezogene Daten direkt an Server der Angreifer übermittelt, ohne dass Betroffene dies bemerkten. Die serverseitige Steuerung ermöglichte es zudem, die Schadsoftware nachträglich anzupassen und Erkennungsmechanismen zu umgehen.

Was bedeutet das?

Unternehmen sollten klare Richtlinien für die Installation von Browser-Erweiterungen etablieren und diese zentral verwalten, umunkontrollierte Add-on-Installationen zu verhindern.
Regelmäßige Sicherheitsaudits der installierten Erweiterungen sind erforderlich, insbesondere bei Tools, die weitreichende Berechtigungen für Tab-Zugriffe oder Datenverarbeitung anfordern.
Sensibilisierungsmaßnahmen für Mitarbeitende sollten verstärkt werden, um das Bewusstsein für Risiken durch scheinbar harmlose KI-Tools und gefälschte Bewertungen zu schärfen.
Der Einsatz von Endpoint-Security-Lösungen, die verdächtige Browser-Aktivitäten erkennen können, bietet eine zusätzliche Schutzebene gegen solche Angriffskampagnen.
Bei der Nutzung webbasierter Unternehmensdienste wie E-Mail oder Cloud-Anwendungen sollten Zugriffe durch Browser-Erweiterungen besonders restriktiv gehandhabt werden.