Zwei beliebte Browsererweiterungen, die sich als kostenlose VPN-Dienste ausgaben, wurden dabei erwischt, wie sie die Daten der Zwischenablage von Benutzern stehlen. Die Chrome- und Firefox-Add-Ons sammelten heimlich alles, was Benutzer kopierten, während ihre Proxy-Funktionen weiterhin funktionsfähig blieben, damit sie legitim wirkten.
Die Erweiterungen wurden unter der Marke VPN Go betrieben. Die Chrome-Version hatte etwa 146 aktive Installationen, während die Firefox-Version zum Zeitpunkt der Entdeckung 3.499 Benutzer hatte. Socket, eine aufstrebende, entwicklerorientierte Cybersicherheitsplattform,Beide Browser-Anbieter darüber informiertdie bösartigen Add-ons und forderte deren Entfernung aus den offiziellen Stores.
Der Entwickler hat den Diebstahl der Zwischenablage durch scheinbar gewöhnliche Updates eingeleitet. Die Chrome-Erweiterung fungierte bei ihrer Einführung im Dezember letzten Jahres zunächst als sauberes Proxy-Tool. Der Schadcode erschien in einer späteren Version, die Ende Mai dieses Jahres veröffentlicht wurde.
Klemmbrettdiebe sind besonders gefährlich, da viele Menschen persönliche Daten und Passwörter regelmäßig in ihre Zwischenablage kopieren. Durch die Ausnutzung der Browserberechtigungen, aber nicht des Betriebssystems selbst, können Angreifer diese Geheimnisse abfangen, ohne dass sie für den Benutzer sichtbar sind.
Wie die bösartigen Erweiterungen funktionierten
Der Schadcode der Chrome-Erweiterung wurde auf jeder Website aktiviert, die ein Benutzer besuchte. Es überprüfte die Zwischenablage jede halbe Sekunde auf neue Inhalte. Das Skript hat den kopierten Text in Segmente unterteilt und eine eindeutige Sitzungsmarkierung erstellt. Anschließend wurde alles an einen Hintergrundhandler weitergeleitet, der es weiterleitete.
Die Erweiterung ignorierte doppelte Einträge, was das mehrfache Hochladen desselben Inhalts verhinderte. Die Entwickler haben dies implementiert, um eine Erkennung zu vermeiden und verdächtigen Netzwerkverkehr zu reduzieren. Anschließend leitete der Hintergrunddienstmitarbeiter die gestohlenen Zwischenablagedaten an die von den Angreifern kontrollierten Server weiter.
Die Firefox-Version spiegelt den Prozess ebenfalls wider, verwendet jedoch eine andere Vorgehensweise. Es schließt den Diebstahl in seinem Hintergrundskript ab und fragt alle 1,5 Sekunden ab. Dies ist wahrscheinlich auf ihre unterschiedliche Architektur zurückzuführen.
Die beiden Add-Ons stellen beide eine Verbindung zum selben Backend-System her und verwenden nahezu identische Methoden zum Abrufen und Senden von Inhalten aus der Zwischenablage. Die Ermittler fanden Firefox-spezifische Konfigurationsdetails, einschließlich der Erweiterungs-ID, in den Dateien der Chrome-Version. Dies weist darauf hin, dass beide Erweiterungen eine gemeinsame Codebasis oder einen gemeinsamen Erstellungsprozess haben, sodass sie wahrscheinlich denselben Ersteller haben.
Die böswillige Nutzung der VPN-Infrastruktur hat weltweite Aufmerksamkeit erregt.Behörden haben kürzlich den „First VPN Service“ abgeschaltetin einer internationalen Operation, die auf Verbindungen zur Cyberkriminalität abzielt.
Warum Daten aus der Zwischenablage so wertvoll sind
Der Diebstahl von Daten aus der Zwischenablage birgt erhebliche Sicherheitsrisiken, da sie sensible Details enthalten. Viele Personen speichern normalerweise Informationen in ihrer Zwischenablage, darunter ihren Passwort-Manager, MFA-Codes (von einer Authentifizierungs-App), API-Schlüssel für ihre Cloud-Dienste, OAuth-Tokens für Integrationen von Drittanbietern, Cloud-Anmeldeinformationen, Kryptowährungs-Wallet-Adressen und Wiederherstellungsphrasen für ihre digitalen Wallets.
Sobald eine bösartige Browsererweiterung die Daten in Ihrer Zwischenablage erfasst, könnte ein Angreifer damit schwere Sicherheitsschäden verursachen. Sie können sich Zugriff auf Ihre Konten verschaffen und Sie bestehlen oder Ihr gesamtes System kompromittieren.
Die VPN Go-Erweiterungen sendeten alle erfassten Daten aus der Zwischenablage zurück an die Server des Angreifers. Dadurch erhält der Angreifer einen sehr gültigen, kontinuierlichen Strom vertraulicher Informationen über seine Opfer.
Die legitime Proxy-Funktionalität half den Erweiterungen, Verdacht zu vermeiden. Benutzer sahen, dass das VPN ordnungsgemäß funktionierte, und gingen davon aus, dass die Software sicher sei. Die umfangreichen Berechtigungen, die für den Proxy-Betrieb erforderlich sind, boten eine praktische Abdeckung für die Überwachung der Zwischenablage.
Socket-Forscher sagten, dass die Erweiterungen Store-Proxy-Anmeldeinformationen und Proxy-Standorte abrufen und den Browser-Verkehr über Remote-Server leiten könnten. Diese legitime Funktionalität trug zum Aufbau von Vertrauen bei und lieferte einen überzeugenden Grund für die umfangreichen Browserberechtigungen.
Sich selbst schützen, wissen, was zu tun ist
Socket empfiehlt jedem, der diese Erweiterungen verwendet, diese unverzüglich zu deinstallieren. Das Unternehmen hat außerdem beide Erweiterungen zur Überprüfung und Entfernung an Google und Mozilla gemeldet.
Jeder, der diese Erweiterungen verwendet hat, sollte alle während dieser Zeit kopierten vertraulichen Informationen als potenziell gefährdet betrachten. Dazu gehören Passwörter, API-Schlüssel, Cloud-Anmeldeinformationen, OAuth-Tokens, Material zur Kryptowährungswiederherstellung und alle anderen vertraulichen Informationen, die während der Installation der Erweiterungen kopiert wurden.
Benutzer sollten die Passwörter für alle Konten ändern, auf die sie zugegriffen haben, während die Erweiterungen aktiv waren. Sie sollten auch API-Schlüssel rotieren und neue Kryptowährungs-Wallet-Adressen generieren, wenn sie diese Details kopiert haben. Eine weitere wichtige Vorgehensweise ist die Überwachung von Konten auf verdächtige Aktivitäten.
Der Vorfall unterstreicht, wie wichtig es ist, nur vertrauenswürdige Browsererweiterungen zu installieren. Benutzer sollten die von einer Erweiterung angeforderten Berechtigungen vor der Installation sorgfältig prüfen. Erweiterungen, die den Zugriff auf die Zwischenablage oder die Möglichkeit zum Lesen von Daten auf allen Websites anfordern, verdienen eine besondere Prüfung.