Mehr als 260.000 Chrome-Nutzer installierten vermeintlich hilfreiche KI-Produktivitätstools … und gewährten damit unbewusst Remote-Servern weitreichenden Zugriff auf ihre Browseraktivitäten.
Forscher von LayerX identifizierten eine koordinierte Kampagne mit 30 gefälschten KI-Assistenten-Erweiterungen, die eingebettete Iframes und eine vom Backend gesteuerte Logik nutzten, um Daten zu extrahieren und dauerhaften Zugriff aufrechtzuerhalten.
„Wir haben mehr als 30 bösartige Erweiterungen mit insgesamt 260.000 Installationen gefunden. Alle nutzten dieselbe hochentwickelte Injektionstechnik, um sich als beliebte KI-Tools wie ChatGPT und Claude auszugeben“, sagte Natalie Zargarov, Sicherheitsforscherin bei LayerX, in einer E-Mail an eSecurityPlanet.
Sie fügte hinzu: „Die Kampagne nutzt den dialogorientierten Charakter von KI-Interaktionen aus, der Nutzer daran gewöhnt hat, detaillierte Informationen zu teilen.“
Zargarov erklärte: „Durch die Injektion von Iframes, die vertrauenswürdige KI-Oberflächen nachahmen, haben sie einen nahezu unsichtbaren Man-in-the-Middle-Angriff geschaffen, der alles von API-Schlüsseln bis hin zu persönlichen Daten abfängt, bevor es den legitimen Dienst überhaupt erreicht.“
Im Inneren der AiFrame-Erweiterungskampagne
Obwohl die Erweiterungen als KI-Produktivitätstools für Verbraucher beworben wurden, stellen sie ein größeres Unternehmensrisiko dar: Browser-Add-ons, die als per Fernzugriff gesteuerte Zugangsvermittler fungieren.
Den Forschern zufolge umfasste die Kampagne 30 Chrome-Erweiterungen, die identische JavaScript-Logik, Berechtigungssätze und eine unter der Domain tapnetic[.]pro gehostete Backend-Infrastruktur gemeinsam hatten.
Obwohl sie unter unterschiedlichen Namen und mit unterschiedlichem Branding veröffentlicht wurden, basierten sie auf derselben Architektur. Mehrere waren im Chrome Web Store sogar als „Ausgewählt“ gekennzeichnet, was das Vertrauen der Nutzer erhöhte und die Verbreitung beschleunigte.
Die AiFrame-Architektur im Detail
Im Zentrum des Vorgangs steht eine Architektur, die die Forscher als „AiFrame“-Architektur bezeichnen.
Anstatt die KI-Funktionalität direkt in den bei der Installation geprüften Erweiterungscode einzubetten, laden die Erweiterungen ein bildschirmfüllendes Iframe von entfernten Subdomains wie claude[.]tapnetic[.]pro. Dieses Iframe legt sich über die aktive Webseite und fungiert als primäre Benutzeroberfläche der Erweiterung.
Da die Benutzeroberfläche und ein Großteil der Logik remote gehostet werden, können die Betreiber die Funktionalität ändern, neue Fähigkeiten einführen oder das Datenverarbeitungsverhalten anpassen, ohne Updates zur Prüfung im Chrome Web Store einreichen zu müssen.
Was zum Zeitpunkt der Installation geprüft wird, ist also nicht zwangsläufig das, was zur Laufzeit ausgeführt wird.
Datenextraktion und das Visiernehmen von Gmail
Die Erweiterungen fordern außerdem weitreichende <all_urls>-Berechtigungen an, wodurch sie auf Inhalte praktisch jeder vom Nutzer besuchten Webseite zugreifen können.
Wird das Content-Skript vom Remote-Iframe ausgelöst, nutzt es Mozillas Readability-Bibliothek, um strukturierte Seitendaten wie Titel, Artikeltext, Auszüge und Metadaten zu extrahieren. Diese Informationen werden anschließend an den Remote-Server übertragen.
Das bedeutet, dass Inhalte, die innerhalb authentifizierter Unternehmensportale, interner Dashboards, SaaS-Plattformen oder Cloud-Umgebungen angezeigt werden, potenziell analysiert und aus der vorgesehenen Sicherheitsgrenze des Browsers hinaus weitergeleitet werden könnten.
Eine Teilmenge von 15 Erweiterungen nahm gezielt Gmail ins Visier. Diese Versionen enthielten spezielle Content-Skripte, die bei document_start auf mail.google.com ausgeführt wurden, von der Erweiterung gesteuerte Oberflächenelemente injizierten und MutationObserver nutzten, um die Persistenz innerhalb dynamischer Gmail-Seiten aufrechtzuerhalten.
Die Skripte griffen direkt über das DOM auf sichtbare E-Mail-Inhalte zu – einschließlich Unterhaltungsverläufen und in einigen Fällen auf Entwurfs- oder Verfassen-Texte – und übermittelten diese Daten an Backend-Systeme, sobald KI-bezogene Funktionen aktiviert wurden.
Infrastruktur und Taktiken zur Verbreitung von Erweiterungen
Das Risiko dieser Kampagne ergibt sich aus dem architektonischen Missbrauch: Privilegierte Browser-APIs werden mit remote gesteuerten Oberflächen kombiniert, die sich nach der Installation weiterentwickeln können. Dieses Modell schlägt effektiv eine Brücke zwischen sensiblen Browserdaten und externer Infrastruktur unter der Kontrolle der Betreiber.
Alle identifizierten Erweiterungen kommunizierten mit thematisch passenden Subdomains unter tapnetic[.]pro.
Die Root-Domain hostete allgemeine Marketinginhalte ohne eindeutige Angaben zum Produkt oder zu den Eigentümern, was darauf hindeutet, dass sie hauptsächlich als Tarninfrastruktur diente. Durch die Aufteilung auf Subdomains konnte jede Erweiterung eigenständig erscheinen, während ein einheitliches Backend-System beibehalten wurde. So ließen sich die operativen Auswirkungen begrenzen, falls eine einzelne Domain blockiert wurde.
Die Forscher beobachteten außerdem Taktiken zur massenhaften Verbreitung von Erweiterungen. Als eine Erweiterung im Februar 2025 aus dem Chrome Web Store entfernt wurde, tauchte innerhalb von zwei Wochen unter einer neuen Kennung eine identische Kopie auf, die dieselben Berechtigungen und Backend-Verbindungen beibehielt. Diese Strategie der schnellen erneuten Veröffentlichung ermöglicht trotz Durchsetzungsmaßnahmen eine fortgesetzte Verbreitung und zeigt die Beständigkeit und Anpassungsfähigkeit der Kampagne.
Risiken von KI-Erweiterungen eindämmen
Browser-Erweiterungen verfügen inzwischen über Berechtigungen, die mit denen herkömmlicher Endpoint-Software konkurrieren können, und sind damit ein relevanter Teil der Angriffsfläche von Unternehmen.
Da viele Erweiterungen automatisch aktualisiert werden und zur Laufzeit entfernte Inhalte laden können, kann ein einziges bösartiges Add-on ein Unternehmen dauerhaft einem Risiko aussetzen.
Um dieses Risiko einzudämmen, reicht reaktives Entfernen nicht aus – erforderlich sind Governance, Überwachung und mehrschichtige Kontrollen.
- Installation von Browser-Erweiterungen beschränken durch unternehmensweite Richtlinienkontrollen, nur geprüfte Add-ons zulassen und den Entwicklermodus oder das Sideloading blockieren.
- Strenge Berechtigungs-Governance durchsetzen indem Erweiterungen, die <all_urls>, Cookie-Zugriff, die Injektion von Content-Skripten oder andere risikoreiche Funktionen anfordern, markiert oder abgelehnt werden.
- Browser- und Endpoint-Telemetrie überwachen auf ungewöhnliches Verhalten wie DOM-Scraping, Iframe-Injektion, Token-Manipulation und verdächtige ausgehende Verbindungen.
- DNS-Filterung, Egress-Kontrollen und Maßnahmen zur Verhinderung von Datenverlust (DLP) implementieren um unbefugte Datenübertragungen an externe Domains zu erkennen oder zu blockieren.
- Richtlinien für geringstmögliche Berechtigungen, Multi-Faktor-Authentifizierung, bedingten Zugriff und Gerätevertrauen anwenden um die Auswirkungen von Sitzungsmissbrauch oder kompromittierten Browsern zu reduzieren.
- Regelmäßige Audits der Browserkonfiguration und Threat Hunting durchführen um nicht autorisierte Erweiterungen, schleichende Berechtigungsänderungen und Muster bei der massenhaften Verbreitung von Erweiterungen zu erkennen.
- Pläne zur Reaktion auf Sicherheitsvorfälle regelmäßig testen und aktualisieren durch Planspiele, die auch Szenarien zur Kompromittierung von Browser-Erweiterungen und zur Remote-Exfiltration von Daten umfassen.
Zusammengenommen helfen diese Schritte Unternehmen, ihre Gefährdung zu verringern und ihre Widerstandsfähigkeit gegen browserbasierte Bedrohungen zu stärken.
Anmerkung der Redaktion: Dieser Artikel erschien ursprünglich auf unserer Schwester-Website, eSecurityPlanet.