Browser-Extension-Forensik: Wenn der Add-on-Store zum Tatort wird
24.07.2026 browser-forensicsbrowser-extensionssession-hijackingsupply-chain
Wer im Sommer 2026 noch glaubt, Browser-Erweiterungen seien ein Nischenthema für Privacy-Nerds, hat die letzten Wochen verpasst. Innerhalb weniger Tage wurden gleich drei Kampagnen publik, die zeigen, wie professionell die Szene geworden ist: eine gefälschte Perplexity-Erweiterung, die Suchanfragen und Adressleisten-Eingaben abgriff, eine Krypto-Clipper-Kampagne namens “Silent Swap” und – als Höhepunkt – die Enttarnung von 119 bösartigen Edge-Erweiterungen durch Microsoft. Die drei Kampagnen zeigen, dass Erweiterungen mittlerweile eine ausgereifte, skalierbare Angriffsfläche sind, die bis in Unternehmensumgebungen reicht.
StegoAd: Steganografie als Tarnkappe
Die von Microsoft aufgedeckte Kampagne “StegoAd” verdient besondere Aufmerksamkeit, weil sie zeigt, wie weit die Tradecraft inzwischen reicht. Die StegoAd-Operation lief rund fünf Jahre über mehr als hundert Erweiterungen und versteckte Code in Bild- und Schriftdateien, ergänzt um verzögerte Ausführung, Analysten-Erkennungsprüfungen und Täuschungs-Serverantworten, um sowohl die Store-Prüfung als auch forensische Analysen zu überstehen. Konkret handelte es sich um eine Technik, bei der ausführbare Payloads in PNG-, WebP- und WOFF2-Dateien versteckt wurden, sodass die bösartige Logik als gewöhnliche Extension-Assets erschien. Die Angreifer entwickelten diese Methode dabei weiter: Frühe Versionen hängten bösartige Daten hinter den End-Marker von PNG-Dateien an, sodass das Bild normal gerendert wurde, aber zusätzlichen, ungescannten Inhalt trug.
Die Dimension ist beachtlich: Zusammen erreichten die 119 Erweiterungen eine Installationsbasis von bis zu 2,6 Millionen Nutzern, wobei eine mehrtägige Verzögerung, serverseitige Validierung und ein 10-Prozent-Ausführungsgate bei manchen Varianten dazu führten, dass die Payload bei vielen Installationen nie auslöste. Genau diese Zurückhaltung macht die forensische Aufarbeitung so schwierig: Ein Incident-Response-Team, das eine Erweiterung zum Zeitpunkt X untersucht, sieht möglicherweise nichts – die Logikbombe war schlicht noch nicht scharf.
Parallel dazu zeigt eine weitere Kampagne die andere Seite der Medaille: gezielte Angriffe auf Unternehmenssoftware. Anfang 2026 deckten Sicherheitsforscher eine koordinierte Kampagne gegen Enterprise-HR- und ERP-Plattformen auf, bei der fünf Chrome-Erweiterungen, mehr als 2.300-mal installiert, sich als Produktivitätstools für Workday, NetSuite und SuccessFactors ausgaben. Die Folgen waren gravierend: Einmal installiert, exfiltrierten sie Session-Token, ermöglichten direkte Account-Übernahmen und verhinderten, dass IT-Teams auf Sicherheitskontrollen zugreifen konnten, um zu reagieren.
Forensische Spuren: Manifest, Storage, Native Messaging
Für die Untersuchung reicht ein Blick auf die Store-Bewertung nicht aus. Zentral sind zwei Artefakte in jedem Extension-Ordner: manifest.json, das Berechtigungen, Umfang und Ausführungsorte der Extension definiert, sowie das Content-Script (meist content.js), das auf Webseiten ausgeführt wird und direkt mit Seiteninhalten interagiert – zusammen liefern beide Dateien den Kontext, um übermäßig berechtigte oder zweckentfremdete Extensions zu identifizieren. Wichtig dabei: manifest.json und content.js müssen gemeinsam betrachtet werden, keines der beiden ist isoliert aussagekräftig.
Ein zweiter Untersuchungsschwerpunkt ist Native Messaging – die Brücke zwischen Extension und lokalem Prozess, über die Angreifer den Browser-Sandbox-Käfig verlassen. Eine aktuell dokumentierte italienische Kampagne zeigt das Muster: Eine bösartige Chrome-Erweiterung nutzte Native Messaging, um die Browser-Sandbox zu verlassen, Session-Daten zu stehlen und Remote-PowerShell-Befehle unter Windows auszuführen. Für Ermittler bedeutet das konkret: Native-Messaging-Registrierungen unter HKCU sollten mit einem freigegebenen Software-Inventar abgeglichen werden, das allowed_origins-Feld in jedem Host-Manifest zeigt, welche Extension den Host starten darf, und eine unbekannte Extension-ID gepaart mit einer Executable in einem benutzerschreibbaren Verzeichnis ist ein starkes Warnsignal.
Erschwerend kommt hinzu, dass Manifest V3 zwar Angriffsflächen reduziert, aber nicht eliminiert hat. Aktuelle Forschung zeigt, dass nach Anpassung 290 von 517 untersuchten bösartigen Erweiterungen (56 Prozent) ihre schädliche Funktionalität auch im V3-Framework beibehalten konnten. Und selbst nach einer offiziellen Store-Bereinigung ist der Fall nicht erledigt: Entfernte Store-Listings lösen nicht automatisch jedes installierte Client-Szenario, jedes synchronisierte Profil, jedes sideloaded Paket oder jede Cross-Browser-Installation. Für DFIR-Teams heißt das: Extension-Hunting gehört als fester Bestandteil in jede Endpoint-Triage – nicht als Kür, sondern als Pflichtprogramm.
← Zurück zur Übersicht