Chrome- und Edge-Erweiterungen in Malware verwandelt: 19 Module stehlen Krypto, Seed Phrases und Sessions

Am 30. August 2026 veröffentlichte Socket, ein Unternehmen für Anwendungssicherheit, Details zu einer Kampagne, die Erweiterungen für Google Chrome und Microsoft Edge nutzte, um ein bösartiges JavaScript-Framework zu verbreiten. Das Framework wird als hochgradig erweiterbar beschrieben: Die Forscher identifizierten 19 Module mit unterschiedlichen Funktionen und warnen, dass im Laufe der Zeit neue Payloads hinzugefügt werden könnten. Die Aktivität könnte Anfang 2024 begonnen haben.

Ein modulares Framework, das über Erweiterungs-Updates eingeschleust wird

Socket stellte fest, dass viele Erweiterungen zum Zeitpunkt der Erstveröffentlichung die versprochenen Funktionen boten und keinen schädlichen Code enthielten. Fünf davon wurden von den ursprünglichen Entwicklern übernommen und später über automatische Updates infiziert. Auf diese Weise ließen sich scheinbar legitime Tools in Malware verwandeln, ohne dass Nutzer etwas Neues installieren mussten.

Technisch gesehen stellt der Schadcode nach der Installation eine verschlüsselte WebSocket-Verbindung zu den Command-and-Control-Servern her. Von dort lädt er zusätzliche JavaScript-Module herunter. Auf jeder besuchten Website entfernt er die Content-Security-Policy-Header und injiziert Skripte über versteckte HTML-Elemente. Damit wird der Schutz, mit dem Browser die Ausführung nicht autorisierten Codes einschränken, deaktiviert.

Die 19 beobachteten Module decken unterschiedliche Funktionen ab: Einige leeren Wallets, andere stehlen Zugangsdaten, wieder andere zeichnen auf, was Nutzer in Formulare eingeben.

Die 19 betroffenen Erweiterungen und der Fall mit 80.000 Nutzern

Der auffälligste Fall betrifft „Enable Right Click & Copy — Smart Unlock + OCR“. Als die Erweiterung bösartig wurde, hatte sie mindestens 70.000 Nutzer in Chrome und 10.000 in Edge. Google entfernte sie aus dem Chrome Web Store; zum Zeitpunkt der Veröffentlichung des Socket-Berichts war die Edge-Version im Microsoft Edge Add-ons-Store noch verfügbar.

Zum Veröffentlichungszeitpunkt war keine der bösartigen Erweiterungen mehr im Chrome Web Store vorhanden, während im Edge-Store einige noch herunterladbar waren. Socket hat die vollständige Liste der IDs veröffentlicht, die hilft, eine verdächtige Installation zu überprüfen.

Erweiterungs-ID	Erweiterungsname
pkoccklolohdacbfooifnpebakpbeipc	Enable Right Click & Copy — Smart Unlock + OCR
fegckejpfnlmfgkfjpinlbgmeeijjkel	RapidLens - Google Lens for Screen Search & Images
kdenlnncndfnhkognokgfpabgkgehodd	QuickLens - Search Screen with Google Lens
jamminefolhgepgihbmcjjhgldbfcikp	Password Protect PDF
inmkjedjdhgpknjogbjomhnbgdccckkg	Allow Copy - Select & Enable Right Click (Edge extension)
fcgdejjichpgfaaafflplhfijcnieopb	PixelCheck
cfpnjdbpojpcongfaefcamjbaolpelcd	Creative Library - Ad Spy Tool
aapdalkmclfaahehnmicbglkohkldhne	Website Traffic Checker: MirrorSphere SEO Stats
dkdadldmiefjldmegbjbnhhfddnkhlhm	Site Signal - Website Traffic & SEO Checker
fjmlhlkccegopebcllcmafahkmeejpph	SEO Pulse Pro - Website Traffic & SEO Analyzer
iekoapohahgmogbagegmcgplbkikcgke	Private Crypto News Reader
ahpnnnjbnfbhoikhohglpohnoocjcoco	Blockfolio: Address Monitor
oeacadlaclegkkkdehjmiifnjhcekclj	Crypto Rates & Fiat Converter
jmlgannjlbliikgcaieomgmcnfplglea	Crypto Alerter: Price Alarms & Volatility Warnings
lhmcajhgadanidbopgaoobjlldegjmke	DeFi Pulse Tracker
gfackggoapepdmnjnkblogdcjpgcjiak	Crypto Price Badge: Quick Glance
hfijkbdkpidafdbeebnnkhfccildbcle	Multi-Chain Explorer
pcngchfbfgejllcbhmeadjhiebebiome	LedgerLook: Wallet Checker
aodkjdeghbjiaienipfjkbpcikkacbcp	Meta & Facebook Ad Library Spy — Save Ads, Finder, Downloader | FeedX-Ray

Was die Schadmodule tun: Wallets, Börsen und gefälschte Updates

Die von Socket identifizierten Module umfassen direkte Angriffe auf Kryptowährungen. Einige leeren EVM-, Solana- und Tron-Wallets, indem sie die legitimen Schaltflächen „Connect Wallet“ und „Swap“ auf DeFi-Websites manipulieren. Ein weiteres Modul ersetzt die Seiten von Ledger und Trezor durch glaubwürdige Phishing-Versionen, um Seed Phrases zu stehlen – die Wiederherstellungsphrasen, die vollen Zugriff auf die Gelder gewähren.

Im Bereich der Krypto-Börsen zielt die Malware auf Sitzungen, Tokens, Kontodaten und Guthaben bei Coinbase, Binance, Kraken, OKX, MEXC, KuCoin, Bybit und MetaMask ab. Parallel zeichnet sie Zugangsdaten und Formulareingaben auf allen besuchten Websites auf, sammelt Informationen aus Facebook- und LinkedIn-Konten und exfiltriert den Browserverlauf.

Ein Modul zeigt zudem gefälschte Browser-Updates im ClickFix-Stil an: Das Opfer sieht eine Warnung, die es dazu verleitet, von den Angreifern bereitgestellte Befehle auszuführen. Damit wird aus einem einfachen Datendiebstahl ein potenzieller direkter Systemzugriff.

Die Folgen für betroffene Nutzer

Wer eine der aufgeführten Erweiterungen installiert hat, muss seine Zugangsdaten als kompromittiert betrachten. Die Infektion legt Passwörter, Sitzungen, Tokens, Formulardaten, Browserverlauf, Kontodaten und Wallet-Guthaben offen. Kryptowährungsbesitzer laufen konkret Gefahr, ihre Gelder zu verlieren, da die Module Transaktionen signieren oder Wiederherstellungsschlüssel stehlen können.

Es wurden keine bestimmten Versionen genannt: Maßgeblich ist das Vorhandensein der Erweiterung mit der entsprechenden ID. Der Schaden hängt nicht von der Browser-Version ab, sondern von der installierten Erweiterung.

Sofortmaßnahmen: Entfernen, neue Passwörter und Prüfung in Edge

Socket empfiehlt einige Sofortmaßnahmen. Zunächst sollten die verdächtigen Erweiterungen manuell aus Chrome und Edge entfernt werden. Anschließend sollten die Passwörter aller gefährdeten Konten geändert werden – vorrangig bei Krypto-Börsen, Wallets, sozialen Netzwerken und Bankdiensten. Wer Kryptowährungen besitzt, sollte die Gelder so schnell wie möglich in eine neu erstellte Wallet übertragen, die nicht von der kompromittierten abgeleitet ist.

Für Edge-Nutzer ist eine manuelle Prüfung erforderlich: Zum Berichtszeitpunkt waren einige Erweiterungen im Microsoft Edge Add-ons-Store noch verfügbar, daher ist eine automatische Entfernung nicht garantiert. Der vollständige Bericht von Socket enthält die Kompromittierungsindikatoren, darunter die Erweiterungs-IDs und die für die Kommunikation mit den Command-and-Control-Servern genutzten Domains. Diese sollten verwendet werden, um Netzwerkprotokolle zu prüfen und verbleibende Verbindungen zu blockieren.

Wenn eine Erweiterung bereits entfernt wurde, das System aber exponiert war, bleiben das Ändern der Zugangsdaten und das Verschieben der Gelder die dringendsten Maßnahmen. Das Framework ist darauf ausgelegt, neue Module zu empfangen: Die Bereinigung des Browsers beseitigt das Risiko nicht, solange Zugangsdaten und Wallets unverändert bleiben.