Gefälschte Google Docs Offline-Erweiterung
Die gefälschte Google Docs Offline-Erweiterung ist ein schädliches Browser-Add-on, das als legitimes Tool getarnt ist. Sie gibt sich als vertrauenswürdiger Google-Dienst aus, ist aber tatsächlich Teil einer umfassenderen Cyberangriffskampagne namens GlassWorm. Diese Erweiterung wird nicht direkt vom Nutzer installiert, sondern unbemerkt durch bereits vorhandene Schadsoftware mittels eines bösartigen Skripts in den Browser eingeschleust. Einmal installiert, fügt sie sich nahtlos in die Gruppe legitimer Erweiterungen ein und ist daher schwer zu erkennen.
Inhaltsverzeichnis
Stille Infiltration durch Kettenangriffe
Diese Bedrohung verbreitet sich durch eine ausgeklügelte Angriffskette, die kompromittierte Plattformen wie GitHub-Repositories, npm-Pakete und Browser-Erweiterungs-Stores ausnutzt. Die Cyberkriminellen hinter GlassWorm betten Schadcode in scheinbar legitime Softwareprojekte oder Updates ein, wodurch diese als sicher erscheinen.
Wenn Nutzer infizierte Software installieren oder aktualisieren, wird der versteckte Code im Hintergrund aktiviert und schleust die gefälschte Browsererweiterung ein. In manchen Fällen wird die Schadsoftware über irreführende Update-Mechanismen verbreitet, die offiziellen Prozessen täuschend ähnlich sehen, wodurch die Wahrscheinlichkeit einer erfolgreichen Infektion weiter steigt.
Vollständige Browserüberwachung und Datenerfassung
Nach der Installation fungiert die gefälschte Erweiterung als Remote-Administrationstrojaner (RAT) und ermöglicht Angreifern weitreichende Kontrolle über die Browseraktivitäten. Sie ist in der Lage, eine Vielzahl sensibler Informationen zu sammeln, darunter:
- Tastatureingaben, einschließlich Anmeldedaten und Formulareingaben
- Cookies und aktive Sitzungsdaten von Websites
- Vollständiger Code der aktiven Browser-Tabs
- Screenshots von geöffneten Seiten
- Zwischenablageinhalte und gespeicherte Lesezeichen
- Browserverlauf (bis zu 5000 Einträge)
- Geräte- und Browserdetails, einschließlich Hardware- und GPU/WebGL-Daten
- Informationen zu installierten Browsererweiterungen
Alle gesammelten Daten werden gebündelt und an Cyberkriminelle übermittelt, oft ohne dass das Opfer davon Kenntnis erhält.
Schwerwiegende Folgen für die persönliche und die Unternehmenssicherheit
Die durch diese schädliche Browsererweiterung gewährten Zugriffsrechte gefährden eine Vielzahl sensibler Daten. Private E-Mails, Nachrichten, Dokumente und andere persönliche Informationen können offengelegt werden. Besonders gefährdet sind Finanztransaktionen, darunter Online-Banking-Sitzungen, Zahlungsdetails und Kryptowährungskonten, auf die über den Browser zugegriffen wird.
Angreifer können diese Daten ausnutzen, um Konten zu übernehmen, Gelder zu stehlen, sich als Benutzer auszugeben und weitere schädliche Aktionen durchzuführen. Wird die Schadsoftware auf einem Arbeitsgerät installiert, kann dies zu einem umfassenden Sicherheitsverstoß im Unternehmen führen und interne Systeme sowie vertrauliche Geschäftsdaten gefährden.
Missbrauch der Browserverwaltungsfunktionen
Zusätzlich zu seinen Spionagefunktionen manipuliert die Erweiterung die Browsereinstellung „Von Ihrer Organisation verwaltet“. Normalerweise bedeutet diese Einstellung, dass ein Browser von einem offiziellen Administrator, beispielsweise in einem Unternehmensnetzwerk, kontrolliert wird.
Durch Missbrauch dieser Funktion kann die Schadsoftware die Benutzerkontrolle einschränken, gängige Entfernungsmethoden verhindern und den Zugriff auf Browsereinstellungen beschränken. Diese Taktik hilft der schädlichen Erweiterung, sich hartnäckig zu halten und über längere Zeiträume unentdeckt zu bleiben.
Eine anhaltende und risikoreiche Bedrohung
Die gefälschte Google Docs Offline-Erweiterung stellt aufgrund ihrer Fähigkeit, sich zu tarnen, Nutzeraktivitäten zu überwachen und hochsensible Daten zu stehlen, ein ernstes Cybersicherheitsrisiko dar. Ihre heimlichen Installationsmethoden und Persistenzmechanismen machen sie besonders gefährlich.
Wird die Erweiterung entdeckt, müssen sie und alle damit verbundenen schädlichen Komponenten unverzüglich entfernt werden, um fortgesetzten Datendiebstahl und eine mögliche langfristige Gefährdung zu verhindern.
