Der Forscher John Tuckner von Socket hat eine massive Search-Hijacking-Kampagne namens Searchjacking aufgedeckt. Der Bericht zeigt, wie 319 Erweiterungen für Google Chrome, Ziel ist es mit rund 13,4 Millionen Installationen, die Kontrolle über die Suchmaschine des Nutzers zu übernehmen.

Getarnt als harmlose Tools fangen die Erweiterungen jede Anfrage ab, leiten sie über einen Proxyserver weiter, bevor sie sie auf Yahoo oder Bing anzeigen, und generieren so Einnahmen für ihre Ersteller.

Wie funktioniert dieses Umleitungssystem?

Der Mechanismus hinter diesen Erweiterungen beruht nicht auf komplexem Schadcode. Die Ersteller nutzen eine legitime Chrome-Funktion aus, chrome_settings_overrideswodurch Sie die Standardsuchmaschine direkt im Erweiterungsmanifest ändern können.

Während der Installation wird ein Autorisierungsfenster angezeigt, ohne jedoch klar anzugeben, wohin die Suchen tatsächlich weitergeleitet werden.

Jede Suche wird zunächst an von den Betreibern kontrollierte Proxyserver gesendet. Dadurch können sie nicht nur den vollständigen Suchverlauf der Benutzer erfassen, sondern auch programmierbare Weiterleitungen einrichten.

Laut John Tuckner können Betreiber somit „ Entscheiden Sie pro Suchanfrage, wo Ihre Suche landet „.

Welche Risiken bestehen für Benutzer?

Über einfachen Anzeigenbetrug hinaus verwandelt Such-Hijacking den Browser in ein potenziell gefährliches Tool. Das endgültige Ziel einer Anfrage kann jederzeit geändert werden, um auf Phishing-Seiten oder Websites umzuleiten, die Malware verbreiten.

Mit einer Predator Search-Erweiterung führten sechs identische Suchanfragen zu unterschiedlichen Zielen, darunter Yahoo mit Partner-Tags, einer verdächtigen Seite oder sogar einem Cloudflare-Fehler.

Dies zeigt, dass der Betreiber Benutzer gezielt umleiten kann Basierend auf ihrer Suche, ihrem Standort oder anderen Kriterien warten sie auf den passenden Moment für einen gezielten Angriff.

Wie verbreiten sich diese Erweiterungen?

Die Kampagne basiert auf einem einfachen Trick: Die meisten Erweiterungen sind im Chrome Web Store nicht gelistet und somit für direkte Suchen unsichtbar.

Ihre Verbreitung wird durch aggressive Werbekampagnen sichergestellt, oft in Form von Pop-ups auf bestimmten Websites, die gefälschte Dienstprogramme wie einen PDF-Konverter, ein manuelles Suchtool, eine sichere oder KI-Suche bewerben.

Obwohl diese Art von Kampagne nicht neu ist, beschreibt der im Socket-Blog veröffentlichte Bericht detailliert die Kompromittierungsindikatoren der Searchjacking-Kampagne.