In einer kürzlich aufgetretenen Cyberattacke sind neue Details aufgetaucht. Eine bösartige Google Chrome-Erweiterung führte dazu, dass 400.000 Benutzer mit Malware infiziert wurden. Berichten zufolge planten die Angreifer die Kampagne bereits im März 2024.

Forschungen haben ergeben, dass der jüngste Cyberangriff, der das Sicherheitsunternehmen Cyberhaven traf und dann eine Reihe von Google Chrome-Erweiterungen betraf, möglicherweise Teil einer „umfassenderen Kampagne“ war. Eine Untersuchung von BleepingComputer ergab, dass derselbe Code in mindestens 35 Google Chrome-Erweiterungen eingeschleust wurde, die von etwa 2,6 Millionen Benutzern weltweit genutzt werden. Dies führte dazu, dass 400.000 Geräte über die CyberHaven-Erweiterungen mit bösartigem Code infiziert wurden. Die Kampagne begann bereits am 5. Dezember, über zwei Wochen früher als zunächst vermutet, obwohl Command-and-Control-Subdomains gefunden wurden, die bis März 2024 zurückreichen.

Datensicherung
Ironischerweise ist das Cybersicherheitsunternehmen Cyberhaven ein Startup, das eine Google Chrome-Erweiterung anbietet, die darauf abzielt, den Verlust sensibler Daten von nicht genehmigten Plattformen wie Facebook oder ChatGPT zu verhindern. In diesem speziellen Fall ging der Angriff von einer Phishing-E-Mail gegen einen Entwickler aus, die sich als Google-Benachrichtigung ausgab und den Administrator darüber informierte, dass eine Erweiterung gegen die Richtlinien des Chrome Web Store verstieß und in Gefahr war, entfernt zu werden. Der Entwickler wurde ermutigt, eine „Datenschutzerklärungs-Erweiterung“ zuzulassen, die dann den Angreifern Berechtigungen erteilte und Zugriff gewährte. Anschließend wurde eine neue bösartige Version der Erweiterung hochgeladen, die die Sicherheitsüberprüfungen von Google umging und dank automatischer Erweiterungsaktualisierungen in Chrome auf etwa 400.000 Benutzer verbreitet wurde.

Es wurde nun entdeckt, dass die Angreifer darauf abzielten, Facebook-Daten von Opfern über die Erweiterungen zu sammeln, und die bei dem Angriff verwendeten Domains wurden bereits im März 2024 registriert und getestet, bevor im November und Dezember ein neuer Satz erstellt wurde, bevor es zum Vorfall kam. „Der Mitarbeiter folgte dem standardmäßigen Ablauf und autorisierte unwissentlich diese bösartige Drittanbieteranwendung“, erklärte Cyberhaven in einer Stellungnahme. „Der Mitarbeiter hatte den Google Advanced Protection aktiviert und sein Konto mit MFA abgesichert. Der Mitarbeiter erhielt keine MFA-Aufforderung. Die Google-Anmeldeinformationen des Mitarbeiters wurden nicht kompromittiert.“