Wer eine VPN-Erweiterung installiert, m\u00f6chte in der Regel seine Privatsph\u00e4re verbessern. Im Chrome Web Store ist nun allerdings eine umfangreiche Kampagne aufgefallen, bei der genau dieses Vertrauen ausgenutzt wurde.<\/p>\n\n\n\n
Sicherheitsforscher von Socket haben insgesamt 737 VPN- und Proxy-Erweiterungen<\/strong> identifiziert, die zu einer zusammenh\u00e4ngenden Infrastruktur geh\u00f6ren. Gemeinsam kamen die Erweiterungen auf mehr als 75.000 Installationen<\/strong>. Besonders problematisch ist, dass ein gro\u00dfer Teil des gesamten Browserverkehrs der Nutzer \u00fcber SOCKS5-Proxyserver eines einzigen Anbieters umgeleitet wurde.<\/p>\n\n\n\n\n\n\n\n Die Kampagne setzte stark auf bekannte Namen. Laut den Forschern imitierten 274 der 737 Erweiterungen insgesamt 66 etablierte VPN- und Datenschutzmarken<\/strong>.<\/p>\n\n\n\n Darunter befanden sich unter anderem Namen wie:<\/p>\n\n\n\n Allein die Erweiterungen, die bekannte Marken imitierten, wurden laut Socket mehr als 38.000 Mal installiert. Eine \u00f6ffentliche Verbindung oder Genehmigung durch die jeweiligen Originalanbieter konnte Socket nicht feststellen.<\/p>\n\n\n\n Offensichtlich richtete sich der Gro\u00dfteil der Kampagne an russischsprachige Nutzer. Dabei wurde unter anderem damit geworben, dass gesperrte Webseiten und Dienste wieder erreichbar w\u00e4ren.<\/p>\n\n\n\n Technisch gesehen nutzen die Erweiterungen eine durchaus legitime Chrome-Funktion: die Proxy-Schnittstelle des Browsers.<\/p>\n\n\n\n Genau diese Berechtigung macht VPN- und Proxy-Erweiterungen so m\u00e4chtig. Eine Erweiterung, die auf die Proxy-Einstellungen zugreifen kann, ist in der Lage, den Datenverkehr des Browsers \u00fcber einen vom Entwickler bestimmten Server zu leiten.<\/p>\n\n\n\n Socket konnte den Programmcode von 522 Erweiterungen aus dem urspr\u00fcnglichen Datensatz genauer untersuchen. 520 davon konfigurierten Chrome so, dass der gesamte Browserverkehr \u00fcber dieselbe SOCKS5-Infrastruktur auf Port 1082 geleitet wurde, ohne dass es eine Beschr\u00e4nkung auf einzelne Webseiten oder Split-Tunneling gab.<\/p>\n\n\n\n Der Betreiber der Proxy-Infrastruktur befand sich somit technisch in einer \u00e4u\u00dferst privilegierten Position.<\/p>\n\n\n\n Er konnte unter anderem erkennen:<\/p>\n\n\n\n Das bedeutet jedoch nicht, dass automatisch s\u00e4mtliche \u00fcbertragenen Daten gespeichert oder ausgewertet wurden. Socket hat eigenen Angaben zufolge lediglich die Client-Seite und die dazugeh\u00f6rige Infrastruktur untersucht. Das Unternehmen macht ausdr\u00fccklich keine Aussage dar\u00fcber, was die Betreiber der Proxyserver tats\u00e4chlich protokolliert haben.<\/p>\n\n\n\n Besonders problematisch ist, dass die verwendete Proxyverbindung keinen mit einem klassischen VPN vergleichbaren verschl\u00fcsselten Tunnel bereitstellt.<\/p>\n\n\n\n Die SOCKS5-Verbindung fungierte lediglich als Weiterleitung. HTTPS-Verbindungen waren zwar weiterhin durch TLS gesch\u00fctzt, sofern die aufgerufene Webseite HTTPS verwendete. Der Proxyanbieter konnte jedoch erkennen, dass eine Verbindung zu einem bestimmten Ziel aufgebaut wurde.<\/p>\n\n\n\n Bei unverschl\u00fcsselten HTTP-Verbindungen w\u00e4ren die \u00fcbertragenen Inhalte hingegen auch sichtbar gewesen.<\/p>\n\n\n\n Die Erweiterungen vermittelten teilweise dennoch den Eindruck einer vollwertigen Sicherheitsl\u00f6sung. Socket fand beispielsweise Varianten, die dem Nutzer nach dem Verbindungsaufbau den Status \u201eGesch\u00fctzt<\/strong>\u201d anzeigten.<\/p>\n\n\n\n Die Betreiber gingen offenbar noch einen Schritt weiter.<\/p>\n\n\n\n Von den 104 untersuchten Erweiterungen nutzten 90 DNS-over-HTTPS \u00fcber Dienste von Google bzw. Cloudflare, um die IP-Adressen ihrer eigenen Proxyserver aufzul\u00f6sen. Im n\u00e4chsten Schritt wurde nicht mehr der Domainname, sondern die ermittelte IP-Adresse direkt an Chrome \u00fcbergeben.<\/p>\n\n\n\n Dadurch lie\u00df sich unter anderem erreichen, dass keine normalen DNS-Anfragen f\u00fcr die verwendeten Domains auf dem System auftauchten. Dadurch konnten klassische DNS-basierte Sperrlisten teilweise umgangen werden.<\/p>\n\n\n\n Zudem konnten weitere Erweiterungen Konfigurationsinformationen nachtr\u00e4glich von externen Servern beziehen. Dadurch war es m\u00f6glich, die verwendete Infrastruktur zu ver\u00e4ndern, ohne daf\u00fcr jedes Mal eine neue Erweiterung im Chrome Web Store ver\u00f6ffentlichen zu m\u00fcssen.<\/p>\n\n\n\n Neben dem Datenschutzproblem fanden die Forscher au\u00dferdem Hinweise auf m\u00f6glichen Abonnementbetrug.<\/p>\n\n\n\n Ein kostenpflichtiges Angebot versprach unter anderem VPN-Server in:<\/p>\n\n\n\n Socket \u00fcberpr\u00fcfte daf\u00fcr insgesamt 200 entsprechende Hostnamen<\/strong>. Keiner davon lie\u00df sich w\u00e4hrend der Untersuchung aufl\u00f6sen. Die beworbenen Premium-Server waren zum Zeitpunkt der Analyse somit nicht erreichbar beziehungsweise existierten unter den angegebenen Adressen nicht.<\/p>\n\n\n\n Nutzer konnten somit f\u00fcr angebliche Serverstandorte bezahlen, die technisch gar nicht verf\u00fcgbar waren.<\/p>\n\n\n\n Die Untersuchung zeigt au\u00dferdem, wie professionell die Kampagne organisiert war.<\/p>\n\n\n\n Socket fand Hinweise auf koordinierte Bewertungen sowie zahlreiche Entwicklerkonten. Insgesamt wurden die 737 Erweiterungen \u00fcber mindestens 40 verschiedene Konten im Chrome Web Store<\/strong> ver\u00f6ffentlicht.<\/p>\n\n\n\n Ein weiterer Fund ist besonders interessant: In mehreren Erweiterungspaketen wurden Dokumente mit Begr\u00fcndungen f\u00fcr die Pr\u00fcfung im Chrome Web Store gefunden.<\/p>\n\n\n\n Laut Socket waren neun dieser Dokumente praktisch identisch. Sie behaupteten unter anderem, dass keine pers\u00f6nlichen Daten gesammelt und keine Daten an externe Server \u00fcbertragen w\u00fcrden. Das steht allerdings im deutlichen Widerspruch zur eigentlichen Funktion einer Erweiterung, die den Browserverkehr \u00fcber externe Proxyserver leitet.<\/p>\n\n\n\n Noch problematischer war ein anderer Fall, in dem die Forscher zuf\u00e4llig eine \u00e4ltere Version einer Erweiterung innerhalb des ver\u00f6ffentlichten Pakets entdeckten.<\/p>\n\n\n\n Dadurch lie\u00df sich die urspr\u00fcnglich gepr\u00fcfte Version nachvollziehen.<\/p>\n\n\n\n Der Vergleich zeigte, dass nach der Freigabe eine zus\u00e4tzliche Remote-Konfiguration eingebaut worden war. Dabei \u00e4nderten sich die Berechtigungen der Erweiterung nicht. Das ist besonders schwierig f\u00fcr automatische Pr\u00fcfmechanismen, da eine reine Kontrolle neu hinzugekommener Berechtigungen diese \u00c4nderung nicht erkannt h\u00e4tte.<\/p>\n\n\n\n Socket fand kampagnenweit 49 Erweiterungen aus 18 Entwicklerkonten<\/strong>, die nach der Freigabe entsprechende Code\u00e4nderungen erhalten hatten.<\/p>\n\n\n\n Google hat inzwischen einen Teil der Erweiterungen entfernt.<\/p>\n\n\n\n Zum Zeitpunkt der Socket-Untersuchung waren 221 der insgesamt 737 identifizierten Erweiterungen aus dem Chrome Web Store verschwunden<\/strong>. Damit waren allerdings noch 516 Erweiterungen aktiv<\/strong>, auf die zusammen mehr als 58.000 angezeigte Installationen entfielen.<\/p>\n\n\n\n Dies verdeutlicht eines der grundlegenden Probleme bei Browser-Erweiterungen. Wenn eine einzelne Erweiterung entfernt wird, bedeutet das nicht automatisch, dass andere Varianten desselben Entwicklers oder technisch nahezu identische Erweiterungen ebenfalls verschwinden.<\/p>\n\n\n\n Nutzer, die eine VPN- oder Proxy-Erweiterung in Chrome installiert haben, sollten deshalb kontrollieren, ob diese tats\u00e4chlich vom angegebenen Anbieter stammt.<\/p>\n\n\n\n Installierte Erweiterungen lassen sich unter<\/p>\n\n\n\n anzeigen.<\/p>\n\n\n\n Insbesondere sollte bei VPN-Erweiterungen gepr\u00fcft werden, welcher Entwickler angegeben ist und ob die Erweiterung direkt von der offiziellen Website des jeweiligen VPN-Anbieters verlinkt wird.<\/p>\n\n\n\n Unbekannte oder nicht mehr ben\u00f6tigte VPN- und Proxy-Erweiterungen sollten entfernt werden.<\/p>\n\n\n\n Socket empfiehlt au\u00dferdem, anschlie\u00dfend die Proxy-Einstellungen des Systems bzw. Browsers zu kontrollieren. Wenn w\u00e4hrend der Verwendung einer verd\u00e4chtigen Erweiterung Zugangsdaten auf einer unverschl\u00fcsselten HTTP-Seite eingegeben wurden, sollten diese Passw\u00f6rter vorsichtshalber ge\u00e4ndert werden.<\/p>\n\n\n\n Der Vorfall zeigt erneut, wie viel Vertrauen Browser-Erweiterungen erhalten. Das ist besonders kritisch bei VPN-Erweiterungen. Die Berechtigung f\u00fcr die Proxy-Konfiguration wirkt zwar zun\u00e4chst harmlos, erm\u00f6glicht technisch jedoch die Umleitung des gesamten Browser-Datenverkehrs.<\/p>\n\n\n\n Eine Aufnahme in den Chrome Web Store sollte deshalb nicht automatisch als Sicherheitsnachweis verstanden werden. Wer eine VPN-Erweiterung installieren m\u00f6chte, sollte sie am besten \u00fcber die offizielle Website des jeweiligen Anbieters beziehen und \u00fcberpr\u00fcfen, ob der dort verlinkte Eintrag mit der Erweiterung im Chrome Web Store \u00fcbereinstimmt.<\/p>\n\n\n\n Ausgerechnet Nutzer, die mit einem VPN ihre Privatsph\u00e4re verbessern oder staatliche Sperren umgehen wollten, wurden im aktuellen Fall angesprochen. Stattdessen landete ihr Browserverkehr teilweise bei einer Infrastruktur, \u00fcber deren Betreiber sie kaum Informationen hatten.<\/p>","protected":false},"excerpt":{"rendered":" Wer eine VPN-Erweiterung installiert, m\u00f6chte in der Regel seine Privatsph\u00e4re verbessern. Im Chrome Web Store ist nun allerdings eine umfangreiche Kampagne aufgefallen, bei der genau dieses Vertrauen ausgenutzt wurde. Sicherheitsforscher von Socket haben insgesamt 737 VPN- und Proxy-Erweiterungen identifiziert, die zu einer zusammenh\u00e4ngenden Infrastruktur geh\u00f6ren. Gemeinsam kamen die Erweiterungen auf mehr als 75.000 Installationen. Besonders...<\/p>\n","protected":false},"author":1,"featured_media":14394,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[6],"tags":[],"class_list":["post-14393","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-aktuelles"],"_links":{"self":[{"href":"https:\/\/www.felix-bauer-it.de\/blog\/wp-json\/wp\/v2\/posts\/14393","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.felix-bauer-it.de\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.felix-bauer-it.de\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.felix-bauer-it.de\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.felix-bauer-it.de\/blog\/wp-json\/wp\/v2\/comments?post=14393"}],"version-history":[{"count":2,"href":"https:\/\/www.felix-bauer-it.de\/blog\/wp-json\/wp\/v2\/posts\/14393\/revisions"}],"predecessor-version":[{"id":14398,"href":"https:\/\/www.felix-bauer-it.de\/blog\/wp-json\/wp\/v2\/posts\/14393\/revisions\/14398"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.felix-bauer-it.de\/blog\/wp-json\/wp\/v2\/media\/14394"}],"wp:attachment":[{"href":"https:\/\/www.felix-bauer-it.de\/blog\/wp-json\/wp\/v2\/media?parent=14393"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.felix-bauer-it.de\/blog\/wp-json\/wp\/v2\/categories?post=14393"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.felix-bauer-it.de\/blog\/wp-json\/wp\/v2\/tags?post=14393"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}274 Erweiterungen imitierten bekannte VPN-Anbieter<\/h2>\n\n\n\n
\n
Der komplette Chrome-Datenverkehr landete beim Proxyanbieter<\/h2>\n\n\n\n
\n
SOCKS5 bedeutete hier keine zus\u00e4tzliche Verschl\u00fcsselung<\/h2>\n\n\n\n
Teilweise wurden sogar DNS-Sperren umgangen<\/h2>\n\n\n\n
Premium-Server existierten offenbar gar nicht<\/h2>\n\n\n\n
\n
Auch Bewertungen sollen manipuliert worden sein<\/h2>\n\n\n\n
Funktionen wurden offenbar nach der Freigabe ver\u00e4ndert<\/h2>\n\n\n\n
Hunderte Erweiterungen waren weiterhin verf\u00fcgbar<\/h2>\n\n\n\n
Was Chrome-Nutzer jetzt pr\u00fcfen sollten<\/h2>\n\n\n\n
chrome:\/\/extensions<\/code><\/p>\n\n\n\nChrome-Erweiterungen bleiben ein attraktives Angriffsziel<\/h2>\n\n\n\n