Bad-Ons: Gefährliche Helferlein

Videos und Musik per Klick downloaden, die Surfgeschwindigkeit erhöhen oder lästige Werbung blocken. Firefox und Chrome sind deshalb so beliebt, weil sich die Browser mit wenigen Klicks um geniale Zusatzfunktionen erweitern lassen – kleine Erweiterungen machen’s möglich. Was Viele aber nicht wissen. Von Add-Ons geht eine immense Gefahr aus.

Wer ein Browser Add-On installiert, freut sich meist über pfiffige Zusatzfunktionen und nette Extras. Was genau die kleinen Helferlein im Hintergrund aber anstellen, bleibt im Dunkeln. Daher werden sie gerne allzu sorg- und arglos installiert. Die Nutzer vertrauen den offenbar sicheren „offiziellen“ Downloadquellen „Add-Ons Manager“ (Firefox) oder dem Chrome Web Store. Darüber hinaus wiegt die Nutzer ein aktueller Virenscanner in perfekter Sicherheit. Dabei holt man sich mit jedem Add-On sozusagen einen Gast ins Haus, der seine wahren Absichten geschickt verbergen kann.  Beispiel Adblock Plus: Der weit verbreitete Werbeblocker darf auf allen besuchten Seiten sämtliche privaten Daten, beispielsweise eingetippte Passwörter, auslesen und verändern. Denn wie viele andere Add-Ons auch,  genießt Adblock Plus die gleichen Rechte wie der Browser selbst. Durch diese Fähigkeiten sind sie ein perfektes Einfallstor für Passwort-Trojaner.

Mini-Programme mit Maxi-Rechten

Das Tückische daran: Da Add-ons „nur“ Erweiterungen für bereits installierte Programme sind, lassen sie sich einfach per Klick hinzufügen – dazu sind nicht einmal Administratorenrechte nötig. Darüber hinaus werden sie als Erweiterung eines Hauptprogramms weder von der Windows-Firewall geblockt noch vom Viren-Scanner unter die Lupe genommen. Google scheint sich diesen Tatsachen voll bewusst zu sein. Schließlich weist der Chrome-Hersteller darauf hin,  dass die Privatsphäre mit eingeschalteten Add-ons nicht sicher ist. Nur im „Inkognito-Modus“, der zum anonymen Surfen dient, dreht der Browser allen Add-Ons den Saft ab. Der Schluss liegt nahe, dass der Nutzer im normalen Modus der Gefahr der Spionage ausgesetzt wird beziehungsweise bereits Fälle aufgetreten sind, in denen Add-Ons Sicherheitslücken ausnutzten.

Warten auf Tag X

Bislang sind nur wenige Attacken dieser Art bekannt. Dass Cyber-Kriminelle über kurz oder lang aber verstärkt diesen Weg einschlagen, ist mehr als wahrscheinlich. Dabei könnten sie etwa so vorgehen: Sie sezieren ein populäres Add-On mit umfangreichen Rechten. Besonderes Interesse gilt dabei dem in der Programmiersprache JavaScript verfasstem Code. Hier fahnden sie nach einer Stelle, die es erlaubt, Daten nachzuladen. Ist die gefunden, wird der Code manipuliert. Die Verbrecher injizieren über eine gefälschte Domain, der des Herstellers möglichst ähnlich, fernsteuerbaren Schadcode nach.  Fertig ist das „Bad-On“. Das im Add-On enthaltene Script belassen die sie zunächst im „Schlafmodus“, so verhält es sich absolut unauffällig und wird nicht entdeckt. Nun müssen die Spitzbuben nur noch die verfälschte Version des Add-Ons unters Volk bringen, etwa als Download über Internetseiten. Dann hieße es für die Online-Kriminellen zunächst einmal abzuwarten. Erst wenn möglichst viele Nutzer die Erweiterung installiert haben, käme wieder Bewegung in die Sache – sie schalten das Add-On „scharf“. Wenige Minuten würden reichen, um unzählige Anmeldedaten abzugreifen. Mit genügend Beute im Sack, deaktivieren sie die Protokollfunktion wieder und verschleiern so den Tathergang.

Online-Banking im Visier

Ziemlich sicher ist: Der Fang würde sich lohnen. Selbst hohe Sicherheitsstandards wie SSL und TLS wären unwirksam. Das bedeutet, dass auf diese Weise die Anmeldedaten jedes Internetkontos abgegriffen werden könnten. Sogar Angriffe auf Online-Banking wären möglich. Das Add-On könnte etwa eine TAN nicht an die Bank, sondern auf den Server der Kriminellen schicken. Ausgerüstet mit den Einwahldaten und der TAN, stände einer saftigen Überweisung aufs Gangster-Konto nichts im Weg. Selbst beste Sicherheitsprogramme würde diese Vorgehensweise vor große Probleme stellen. Denn bei der Anmeldung des Nutzers bei einem Internetdienst werden bei aktiviertem Trojaner die Login-Daten parallel in eine zentrale Datei geschrieben, die sich unmittelbar im Anschluss auslesen lässt. Virenscanner sind hier machtlos, da sie keinen Anhaltspunkt für eine Manipulation erkennen.

Das hilft gegen Bad-Ons

Auch wenn es keine hundertprozentige Sicherheit verspricht: Als Nutzer bleiben Ihnen nur folgende Möglichkeiten sich zu schützen:

• Nutzen Sie den Opera-Browser – er hat alle wichtigen Sicherheitsaddons bereits installiert und sorgt dafür, dass Sie sorgenfreier im Netz unterwegs sein können.
• Installieren Sie Add-Ons nur aus möglichst sicheren Downloadquellen wie den „Add-Ons Manager“ (Firefox) oder dem Chrome Web Store.
• Packen Sie nicht zu viele Erweiterungen in den Browser, nur die Wichtigsten. Das schmälert sonst nicht nur die Leistung, sondern erhöht auch die Gefahr potenzieller Angriffe.
• Wenn eine installierte Erweiterung auf einmal eine neue Berechtigung fordert, sollten die Alarmglocken schellen.
• Für den Fall des Falles lohnt es sich auch, ein gutes Antivirenprogramm installiert zu haben.

Ansonsten sind die Browserhersteller gefordert. Sie müssen dafür sorgen, dass Add-Ons nur bestimmte Server kontaktieren dürfen. Das würde verhindern, dass Cracker schädlichen Code über Drittserver überhaupt nachladen könnten.