Cybersecurity-Forscher haben ein komplexes Post-Exploitation-Toolkit namens PEEP aufgedeckt, das als Lesezeichen-Erweiterung für Webbrowser getarnt ist. Nach einer erfolgreichen Kompromittierung des Systems verwandelt es Google Chrome und Microsoft Edge in ferngesteuerte Hintertüren, über die Angreifer Host-Befehle ausführen, Daten stehlen und Sitzungen kapern können. Das Toolkit erfordert vorab administrative Zugriffsrechte oder Codeausführung auf dem Zielrechner und umgeht die Sicherheitsmechanismen der Browser, indem es die Erweiterung direkt in die Benutzerprofile von Chrome und Edge einschleust.
So funktioniert die PEEP-Malware
Der Installer von PEEP injiziert eine als „Smart Bookmarks“ (ID: ejkndncpkdcjcikfhiamcdehdoegilbj) getarnte Erweiterung in die Profile der Browser. Dabei manipuliert er die Secure-Preferences-Datei von Chromium, um die Erweiterung automatisch zu aktivieren – und dies ohne Zustimmung des Nutzers oder eine Prüfung durch den Chrome Web Store. Die Erweiterung dient als Hauptagent: Sie kontaktiert alle 30 Sekunden über unverschlüsseltes HTTP den Kommando- und Kontrollserver (C2) unter den Adressen 206.237.30[.]232 oder xfjcc[.]fun.
Der Agent fragt regelmäßig den Endpunkt /api/commandscodecode ab, um neue Befehle zu empfangen, sammelt Browserdaten wie Verlauf, geöffnete Tabs und Cookies und sendet die Ergebnisse über /api/exfilcodecode an den C2-Server zurück. Darüber hinaus nutzt PEEP eine Native-Messaging-Schnittstelle: Ein ausführbares Hilfsprogramm (nm_host.execodecode) wird aufgerufen, wenn ein Befehl Betriebssystemzugriffe erfordert – etwa Shell-Kommandos, Dateimanipulation oder Prozessabfragen. Reine Browserbefehle wie Screenshots, Zwischenablage-Zugriff oder JavaScript-Injektion werden lokal innerhalb der Erweiterung ausgeführt.
Technische Details: API-Endpunkte und Persistenz
Die Erweiterung kommuniziert über mehrere spezifische Endpunkte mit der C2-Infrastruktur:
/api/registercodecode zur Registrierung einer neuen Infektion/api/agents/<id>/heartbeatcodecode zum Senden von Browserkennung, Betriebssystem und Zeitzone/api/extension_update/codecode und/api/extension_crx/codecode zur Aktualisierung der Erweiterung/api/agents/<id>/task_resultcodecode zum Übermitteln der Befehlsausgaben/api/exfilcodecode zum Hochladen automatisch gesammelter Daten wie Cookies, Verlauf, aktive URL, öffentliche IP und Spracheinstellungen/healthcodecode zur Anzeige des Systemstatus ohne Authentifizierung/logincodecode als Zugangsschnittstelle für das C2-Panel auf Port 5001
Um dauerhaft im Browser zu bleiben, manipuliert PEEP die Datei Secure Preferences, sodass die Erweiterung bei jedem Browserstart aktiviert wird. Da sie nicht in offiziellen Stores verfügbar ist, nutzen die Angreifer zudem die Gruppenrichtlinien ExtensionInstallForcelistcodecode oder ExtensionSettingscodecode, um die Erweiterung zu erzwingen, oder setzen auf Sideloading-Techniken. Drei PowerShell-Skripte unterstützen die Installation:
install_silent.ps1codecode aktiviert den Entwicklermodus, um beliebige Erweiterungen zu ladenpatch_secure_prefs.ps1codecode patcht die Secure-Preferences-Dateiforce_enable.ps1codecode entfernt die Erweiterung aus der Blockierliste, platziert die CRX-Datei im lokalen AppData-Ordner und startet den Browser neu
Ein Python-Skript (patch_secure_prefs_linux.pycodecode) deutet darauf hin, dass die Bedrohungsakteure auch Linux-Systeme ins Visier nehmen.
Hintergrund und Einordnung der Bedrohung
PEEP baut auf dem Open-Source-Framework RedExt auf, das ursprünglich für Browser-Datenanalyse und Red-Teaming entwickelt wurde. RedExt kam bereits bei den früheren GlassWorm-Angriffen zum Einsatz. PEEP erweitert das Framework jedoch um eigene Installationsroutinen, eine Native-Messaging-Brücke, Heartbeat-Telemetrie, einen Updatekanal und einen breiteren Befehlssatz. Es handelt sich somit um eine abgeleitete, spezialisierte Version.
Das Toolkit wird als Post-Exploitation-Framework beschrieben, da es keinen eigenen initialen Zugriffsvektor besitzt. Das bedeutet: Der Angreifer muss das Zielgerät bereits auf andere Weise kompromittiert haben, bevor PEEP installiert werden kann. Die Aktivitäten sind bislang keiner bestimmten Gruppe zugeordnet, aber im Quellcode fanden sich chinesischsprachige Artefakte, was auf einen chinesischsprachigen Bedrohungsakteur hindeutet.
SOCRadar identifizierte zudem mehrere Verweise auf einen „Authorized CTF“ (Capture the Flag) – offenbar ein Versuch, KI-Tools wie ChatGPT durch Vorgabe eines legalen Nutzungskontexts zu umgehen, um bei der Malware-Entwicklung Hilfe zu erhalten. Ob PEEP bereits gegen reale Opfer eingesetzt wird, ist unklar. Der /healthcodecode-Endpunkt des C2-Servers zeigte zum Zeitpunkt der Analyse 34 Agenteneinträge, 10 aktive Sessions und 507 gespeicherte Datensätze. Allerdings lässt sich nicht unterscheiden, ob es sich um echte Infektionen oder Testeinträge handelt.
Bedeutung für die Sicherheit im Unternehmensumfeld
PEEP ist ein Paradebeispiel dafür, wie Browser-Erweiterungen nach einer initialen Kompromittierung zu vollwertigen Hintertüren werden können. Indem die Malware innerhalb des signierten Browserprozesses läuft, umgeht sie viele Endpoint-Detection-Systeme, die auf neue oder unsignierte Binärdateien achten. Der Browser fungiert als pivot – erlaubt Zugriff auf das Betriebssystem und ermöglicht credential theft, Sitzungsmissbrauch und die Ausführung beliebiger Kommandos. Unternehmen sollten daher besonders auf Richtlinien achten, die die Installation von Erweiterungen aus externen Quellen unterbinden, und den Entwicklermodus auf verwalteten Geräten deaktivieren. Die Entwicklung solcher Frameworks zeigt, dass Browser zunehmend als Angriffsfläche für persistente Bedrohungen dienen – eine Entwicklung, die Sicherheitsteams im deutschsprachigen Raum gleichermaßen betrifft wie weltweit.
