Eine Malware-Kampagne mit dem Namen „Superior“ wurde von Socket-Sicherheitsforschern entdeckt. Es ist seit Februar 2024 aktiv und wurde über 19 Erweiterungen durchgeführt für Google Chrome und Microsoft Edge, das ein Framework verbarg, das darauf ausgelegt war, Kryptowährungen, Identifikatoren und den Browserverlauf zu stehlen.

Den Ermittlungen von Socket zufolge nutzten die Angreifer zwei Hauptstrategien : Entweder neue Erweiterungen erstellen oder bereits beliebte legitime Erweiterungen kaufen.

In beiden Fällen war die erste in den Extension Stores veröffentlichte Version fehlerfrei und bot die versprochenen Funktionen. Erst nachdem das Vertrauen und eine beträchtliche Benutzerbasis gewonnen waren, wurde der Schadcode durch ein automatisches Update eingeführtohne dass die Opfer es wussten.

Angriffserkennung erschwert

Die Vorgehensweise der Malware basierte auf einer modularen und diskreten Architektur. Nach der Installation der bösartigen Version stellte die Erweiterung eine verschlüsselte WebSocket-Verbindung mit einem Befehls- und Kontrollserver her. Diese Verbindung ermöglichte den dynamischen Download verschiedener Schadmodule in Form von JavaScript-Snippets.

Um die Wirksamkeit ihrer Code-Injektionen sicherzustellen, entfernte die Malware zunächst systematisch die Header der Content Security Policy (CSP).) auf allen konsultierten Webseiten. Genug, um den Schutz vor Cross-Site-Scripting (XSS) zu erhöhen).

Anschließend könnte die Malware ihre bösartigen Skripte über versteckte HTML-Elemente in Websites einschleusen und so die Kontrolle über die Ausführung ihrer Payloads im Kontext der vom Opfer besuchten Seite erhalten.

Was waren die Ziele dieser Kampagne?

Das Arsenal der Angreifer war vielfältig, es wurden mehr als fünfzehn Schadmodule beobachtet.

Das Hauptziel war der Diebstahl von Kryptowährungendas auf EVM-, Solana- und Tron-Wallets abzielt. Die Malware hat legitime Schaltflächen wie „Connect Wallet“ gekapert, um betrügerische Überweisungen zu autorisieren.

Ein anderes Modul orchestrierte gezielte Phishing-Angriffe und ersetzte offizielle Ledger- und Trezor-Websites durch Klone, um Wiederherstellungsphrasen aus Hardware-Wallets zu stehlen.

Im weiteren Sinne zielte die Kampagne auf den Diebstahl von Sitzungen und Daten ab. Spezielle Module wurden entwickelt, um Sitzungscookies, Authentifizierungstoken und Kontostände auf Börsen wie Coinbase, Binance, Kraken oder MetaMask zu extrahieren.

Andere Module fungierten wie Keylogger und erfassten alle in Formularen eingegebenen Informationen oder exfiltrierten sogar den gesamten Browserverlauf und den Zugriff auf Konten in sozialen Netzwerken.

Der Chrome Web Store wurde aufgeräumt

Allein die am stärksten betroffene Erweiterung „Enable Right Click & Copy – Smart Unlock + OCR“ verursachte mehrere Zehntausend der Nutzer von Chrome und Edge, als es bösartig wurde.

Forscher weisen auf die Gefahr dieser Taktik hin, da Benutzer nicht benachrichtigt werden, wenn eine Erweiterung den Besitzer wechselt.

Auch wenn die problematischen Erweiterungen aus dem Chrome Web Store entfernt wurden, ist weiterhin Wachsamkeit geboten. In einem Socket-Blogbeitrag werden die Anzeichen einer Kompromittierung detailliert beschrieben.