PEEP verwandelt Chrome und Edge nach einer Host-Kompromittierung in dauerhafte Hintertüren

Cybersicherheitsforscher haben PEEP dokumentiert, ein Post-Exploitation-Framework, das Überwachungs-, Datendiebstahl- und Fernsteuerungsfunktionen in Google Chrome und Microsoft Edge integriert. Es tarnt sich als Browser-Erweiterung namens „Smart Bookmarks“, seine Funktionen gehen jedoch weit über den Browser hinaus.

PEEP dient nicht dem erstmaligen Zugriff. Angreifer müssen zunächst Administrationsrechte erlangen oder über einen anderen Mechanismus Code ausführen. Nach der Bereitstellung kann das Framework Cookies und Zugangsdaten stehlen, das Surfverhalten überwachen, Webseiten verändern und Befehle im zugrunde liegenden Betriebssystem ausführen.

Die Erkenntnisse wurden am 7. September 2026 öffentlich bekannt. Bestätigte Opfer, betroffene Organisationen oder ein zweifelsfrei identifizierter Betreiber liegen bislang nicht vor.

Schädliche Erweiterung mit nativer Host-Komponente

Die Hauptkomponente von PEEP ist eine Chromium-Erweiterung mit der Kennung:

ejkndncpkdcjcikfhiamcdehdoegilbj

Die Erweiterung zielt auf Chrome- und Edge-Profile ab, wobei die genau betroffenen Browserversionen nicht bekannt gegeben wurden. Da sie erst nach der Kompromittierung des Endpunkts installiert wird, ist der Vorgang nicht auf die Ausnutzung einer bekannten Browser-Schwachstelle angewiesen.

Die Browser-Komponente fragt die Command-and-Control-Infrastruktur regelmäßig ab, sammelt Browserdaten, empfängt Aufgaben und übermittelt Ergebnisse. Sie kann mehrere Aktionen direkt im Browserkontext ausführen, darunter:

• Browserverlauf und Informationen zum aktiven Tab auslesen
• Cookies, Zugangsdaten und Sitzungsdaten stehlen
• Inhalte der Zwischenablage und Screenshots erfassen
• JavaScript in aktive Webseiten einschleusen
• Webinhalte verändern
• URLs und Browseraktivitäten überwachen
• Erweiterungs-Updates von der Infrastruktur des Betreibers herunterladen

Ein content.js-Skript wird in aktive Webseiten eingeschleust und verschafft der Erweiterung Einblick in die vom Benutzer geladenen Inhalte sowie Kontrolle darüber.

Für Aktionen außerhalb des Browsers verwendet PEEP den Native-Messaging-Mechanismus von Chromium. Die zugehörige ausführbare Datei wird folgendermaßen referenziert:

com.peep.lab/nm_host.exe

Diese Verbindung ermöglicht es der Erweiterung, Shell-Befehle auszuführen, Dateien zu verwalten sowie Prozesse und Dienste aufzulisten. Damit wird aus einem schädlichen Browser-Add-on effektiv ein Fernzugriffsmechanismus für den Host.

Die Architektur erschwert zudem die Erkennung. Ein großer Teil der Schadlogik läuft innerhalb eines legitimen, signierten Browserprozesses. Sicherheitskontrollen, die sich vor allem auf nicht signierte ausführbare Dateien oder unbekannte eigenständige Prozesse konzentrieren, können daher wichtige Aktivitäten übersehen. Der Native Host bleibt ein wichtiger Erkennungspunkt – insbesondere dann, wenn Chrome oder Edge unerwartet Befehlsinterpreter oder Systemprogramme startet.

Von RedExt zu einer umfassenderen Post-Exploitation-Plattform

PEEP basiert auf RedExt, einem Open-Source-Framework für die Analyse von Browserdaten und Red-Team-Operationen. RedExt kam auch bei GlassWorm-Angriffen zum Einsatz.

Das neue Framework übernimmt Teile dieser Grundlage, ergänzt sie jedoch um Funktionen für einen längerfristigen Zugriff. Dazu gehören automatisierte Bereitstellungsroutinen, Heartbeat-Telemetrie, Erweiterungs-Updates, eine Native-Messaging-Verbindung und ein erweiterter Befehlssatz.

Dieser Unterschied ist für den Betrieb entscheidend. Eine einfache schädliche Erweiterung könnte einmalig Browserdaten sammeln und an einen Angreifer senden. PEEP richtet dagegen einen wiederkehrenden Aufgabenkanal ein, meldet kontinuierlich Informationen über die infizierte Umgebung und nimmt neue Anweisungen entgegen.

Nach der Initialisierung liest die Erweiterung Konfigurationsdaten mit ihren Command-and-Control-Einstellungen ein. Anschließend kontaktiert sie den Server alle 30 Sekunden über unverschlüsseltes HTTP.

Zu den beobachteten Endpunkten gehören:

Pfad	Zweck
/api/register	Registriert einen neuen Agenten
/api/agents/<id>/heartbeat	Meldet User-Agent, Betriebssystem und Zeitzone
/api/commands	Ruft ausstehende Aufgaben ab
/api/agents/<id>/task_result	Lädt Befehlsergebnisse hoch
/api/exfil	Übermittelt gesammelte Browser- und Hostdaten
/api/extension_update/	Prüft auf Erweiterungs-Updates
/api/extension_crx/	Lädt das CRX-Paket herunter
/health	Stellt Informationen zum Systemstatus ohne Authentifizierung bereit
/login	Ermöglicht den Zugriff auf das Bedienfeld über Port 5001

Zu den an /api/exfil gesendeten Daten können Cookies, der aktuelle Browserverlauf, offene Tabs, die aktive URL, die öffentliche IP-Adresse, die Gebietsschemaeinstellung und die Zeitzone gehören.

Die identifizierten Command-and-Control-Indikatoren sind:

206.237.30[.]232
xfjcc[.]fun

Das feste Abfrageintervall, die unverschlüsselte Kommunikation und die charakteristischen API-Pfade bieten Verteidigern mehrere Möglichkeiten zur netzwerkbasierten Erkennung.

Manipulation von Browsereinstellungen ermöglicht Persistenz

PEEP wird weder über den Chrome Web Store noch über einen anderen offiziellen Marktplatz für Erweiterungen verbreitet. Stattdessen umgehen die Bereitstellungsroutinen die üblichen Installationskontrollen für Erweiterungen durch Sideloading, Unternehmensrichtlinien und direkte Änderungen an Chromium-Profildaten.

Eine zentrale Technik zielt auf die Datei Secure Preferences des Browsers ab. Das Installationsprogramm ändert Erweiterungseinstellungen und fälscht präferenzbezogene Integritätswerte, sodass Chrome oder Edge das Add-on automatisch aktiviert, ohne den üblichen Validierungsprozess oder die Zustimmung des Benutzers.

Das Framework kann außerdem Folgendes missbrauchen:

• ExtensionInstallForcelist
• ExtensionSettings
• Richtlinien zur erzwungenen Installation im Unternehmensstil
• Direktes Sideloading der Erweiterung
• Einen ScriptCache-Fallback

Mehrere Bereitstellungsskripte zeigen, wie Installation und Wiederherstellung umgesetzt werden:

• install_silent.ps1 aktiviert den Entwicklermodus, um beliebiges Sideloading zu ermöglichen.
• patch_secure_prefs.ps1 verändert die Datei Secure Preferences.
• force_enable.ps1 entfernt die Erweiterung aus dem Abschnitt external_uninstalls, speichert ein CRX unter %LOCALAPPDATA%PEEPcrx, legt Erweiterungsregistrierungen an und startet den Browser neu.

Das letzte Skript verwendet sowohl den Registrierungsschlüssel HKCU für Extensions als auch ein JSON-Manifest für External Extensions. Dadurch stehen dem Betreiber mehrere Möglichkeiten zur Verfügung, die Erweiterung wiederherzustellen, falls Chromium sie deaktiviert oder entfernt.

Forscher identifizierten außerdem patch_secure_prefs_linux.py. Dies deutet darauf hin, dass die Bereitstellung auch für Linux angepasst werden soll. Wie umfangreich die Linux-Unterstützung ist, bleibt unbekannt; bestätigte Linux-Opfer gibt es bislang nicht.

Gestohlene Sitzungen können Passwortänderungen überdauern

Die Auswirkungen von PEEP beschränken sich nicht auf den offengelegten Browserverlauf. Sitzungscookies können es einem Angreifer ermöglichen, sich bei Diensten als Benutzer auszugeben, bei denen bereits eine Authentifizierung erfolgt ist. Dadurch kann unter Umständen die unmittelbare Kenntnis des Kontopassworts entfallen.

Die Möglichkeiten zur JavaScript-Injektion und Seitenmanipulation des Frameworks bergen weitere Risiken. Ein Betreiber könnte im Browser angezeigte Inhalte verändern, in Webseiten eingegebene Daten erfassen oder eine authentifizierte Sitzung manipulieren. Gleichzeitig kann der Native Host den Angriff auf Dateien, laufende Prozesse, Dienste und Shell-Aktionen ausweiten.

Diese Kombination unterstützt mehrere Ziele nach einer Kompromittierung:

• Diebstahl von Zugangsdaten und Sitzungen
• Übernahme von Konten
• Überwachung des Browsers
• Erkundung des Hosts
• Manipulation von Dateien
• Ausführung von Befehlen aus der Ferne
• Dauerhafter Zugriff und Aktualisierung von Werkzeugen

Der offengelegte Endpunkt /health listete Berichten zufolge 34 Agenteneinträge, 10 aktive Sitzungen und 507 Datensätze auf. Diese Zahlen belegen nicht das Ausmaß einer aktiven Kampagne. Sie können Testsysteme, Entwicklungsdaten oder doppelte Einträge enthalten; die Forscher konnten sie nicht als echte Infektionen verifizieren.

PEEP ist weder eine CVE noch ein CVSS-Score, eine Schweregradbewertung eines Herstellers oder ein offizieller Patch zugeordnet. Es handelt sich um Schadsoftware, die nach einer Kompromittierung legitime Funktionen zur Browserverwaltung und für Native Messaging missbraucht, nicht um eine offengelegte Softwareschwachstelle. Daher gibt es auch keinen entsprechenden Eintrag im CISA-Katalog Known Exploited Vulnerabilities und keine KEV-Frist zur Behebung.

Zuordnung weiterhin ungeklärt

Der Vorgang wurde bislang keiner bekannten Bedrohungsgruppe zugeordnet. Im Quellcode finden sich Artefakte in chinesischer Sprache. Das könnte auf einen chinesischsprachigen Entwickler oder Betreiber hindeuten, reicht für eine Zuordnung jedoch nicht aus.

Der Code enthält außerdem mehrere Verweise auf Aktivitäten im Rahmen eines „Authorized CTF“. Eine mögliche Erklärung ist, dass die Entwickler Anfragen als autorisierte Sicherheitstests oder Capture-the-Flag-Aktivitäten darstellten, wenn sie KI-Systeme bei der Entwicklung einsetzten und Sicherheitsbeschränkungen umgehen wollten.

Diese Erklärung ist unbestätigt. Bei den Verweisen könnte es sich ebenso um Entwicklungsnotizen, kopiertes Material oder eine gezielte Täuschung handeln.

Ein verlässliches Opferprofil hat sich bislang nicht herausgebildet. Daher ist unbekannt, ob PEEP bei gezielten Angriffen, umfassenderen kriminellen Aktivitäten, kontrollierten Tests oder einer Kombination dieser Szenarien eingesetzt wurde.

Was Verteidiger jetzt untersuchen sollten

Organisationen sollten jeden Fund von PEEP als Hinweis auf eine umfassendere Kompromittierung des Endpunkts behandeln. Das bloße Entfernen der Erweiterung beseitigt weder den ursprünglichen Angriff noch gestohlene Sitzungen, veränderte Browserprofile oder bereits über nm_host.exe ausgeführte Befehle.

Zu den vorrangigen Maßnahmen gehören:

1. Chrome- und Edge-Profile durchsuchen nach „Smart Bookmarks“ und der Erweiterungs-ID ejkndncpkdcjcikfhiamcdehdoegilbj.
2. Datenverkehr blockieren und untersuchen, der 206.237.30[.]232, xfjcc[.]fun, Port 5001 oder die dokumentierten API-Pfade betrifft.
3. Nach HTTP-Anfragen im Abstand von 30 Sekunden suchen, insbesondere wenn sie von Browserprozessen ausgehen.
4. ExtensionInstallForcelist und ExtensionSettings prüfen auf Einträge, die nicht von Administratoren autorisiert wurden.
5. Dateien Secure Preferences und Preferences untersuchen auf Einstellungen zur erzwungenen Aktivierung, verdächtige Integritätsänderungen und Änderungen an external_uninstalls.
6. Nach Bereitstellungsdateien suchen, darunter install_silent.ps1, patch_secure_prefs.ps1, force_enable.ps1, patch_secure_prefs_linux.py, content.js, nm_host.exe und CRX-Dateien unter %LOCALAPPDATA%PEEPcrx.
7. Registrierungen für Native Messaging prüfen, die mit com.peep.lab/nm_host.exe verknüpft sind.
8. Von Browsern gestartete Prozesse, Shell-Ausführung, Dateivorgänge sowie die Auflistung von Prozessen oder Diensten untersuchen.
9. Aktive Sitzungen widerrufen und offengelegte Zugangsdaten ändern, statt sich allein auf Passwortänderungen zu verlassen.
10. Forensische Beweise sichern und das Vertrauen in den Endpunkt wiederherstellen, bevor er wieder in Betrieb genommen wird.

Der ursprüngliche Zugriffsvektor kann sich an anderer Stelle auf dem Rechner befinden. Eine vollständige Reaktion sollte klären, wie der Angreifer erstmals Code ausführen konnte, welche Daten PEEP gesammelt hat und ob der Betreiber zusätzliche Persistenz außerhalb des Browsers eingerichtet hat.