{"id":48948,"date":"2026-08-14T15:10:25","date_gmt":"2026-08-14T13:10:25","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=48948"},"modified":"2026-08-14T15:10:25","modified_gmt":"2026-08-14T13:10:25","slug":"gefaelschte-chrome-vpn-erweiterungen","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/gefaelschte-chrome-vpn-erweiterungen\/","title":{"rendered":"737 Chrome VPN-Erweiterungen leiten Browserverkehr \u00fcber Proxy-Server um"},"content":{"rendered":"<p>Eine massive Kampagne mit 737 gef\u00e4lschten Chrome-<a href=\"https:\/\/overcentral.com\/de\/irrefuehrende-vpn-erweiterungen\/\" title=\"Hunderte irref\u00fchrende VPN-Erweiterungen im Chrome Store\" data-iacss-internal=\"1\">VPN-Erweiterungen<\/a> zielt haupts\u00e4chlich auf russischsprachige Nutzer ab, die auf der Suche nach einer Umgehung von Zensurma\u00dfnahmen sind. Statt des versprochenen Schutzes leiten die Add-Ons den gesamten Browserverkehr \u00fcber vom Angreifer kontrollierte Proxy-Server um, was einer vollst\u00e4ndigen Man-in-the-Middle-\u00dcberwachung gleichkommt. Die Sicherheitsfirma <a href=\"https:\/\/socket.dev\" target=\"_blank\" rel=\"noopener noreferrer\" data-iacss-external=\"1\">Socket<\/a> deckte auf, dass die Erweiterungen \u00fcber mindestens 40 verschiedene Entwicklerkonten im Chrome Web Store verteilt wurden.<\/p>\n<h2>Infrastruktur auf identischen SOCKS5-Servern<\/h2>\n<p>Die Analyse der Erweiterungen offenbart ein alarmierendes Ma\u00df an technischer Einheitlichkeit. Der Sicherheitsforscher Kush Pandya stellte fest, dass 520 der 522 untersuchten Add-Ons den Browserverkehr durch ein identisches SOCKS5-Proxy-Netzwerk leiten. Dabei wird in den Chrome-Einstellungen unter \u201echrome.proxy.settings\u201c ein fester Server auf Port 1082 hinterlegt. Die einzige Ausnahme in der Bypass-Liste bildet die lokale Loopback-Adresse (127.0.0.1), sodass buchst\u00e4blich jede andere Browseranfrage \u00fcber die fremde Infrastruktur l\u00e4uft.<\/p>\n<p>Insgesamt wurden 75.486 Installationen registriert. Besonders perfide: 274 der Erweiterungen imitieren 66 etablierte VPN- und Privacy-Marken, darunter Proton VPN, NordVPN, Surfshark, AdGuard VPN, ExpressVPN, CyberGhost, Windscribe, TunnelBear, Cloudflare 1.1.1.1 und Google Outline. Diese T\u00e4uschung zielt darauf ab, das Vertrauen der Nutzer in bekannte Schutzl\u00f6sungen zu missbrauchen.<\/p>\n<h2>Der Angreifer steht zwischen Nutzer und Ziel<\/h2>\n<p>Durch die Proxy-Umleitung wird der Angreifer faktisch zum Mittelsmann f\u00fcr jede einzelne Browseraktivit\u00e4t. Das bedeutet, der Betreiber der Proxy-Infrastruktur kann alle besuchten Domains, die Quell-IP-Adressen, die TLS-SNI-Werte (die anzeigen, welche verschl\u00fcsselte Seite aufgerufen wird) sowie s\u00e4mtliche unverschl\u00fcsselten HTTP-Daten einsehen. Nur 221 der entdeckten Erweiterungen wurden bislang aus dem Chrome Web Store entfernt; 516 Add-Ons sind weiterhin als aktiv gelistet.<\/p>\n<h3>Hinweise auf russisches VPN-Gesch\u00e4ft<\/h3>\n<p>Die Ermittler fanden belastende Spuren, die auf den Betreiber hindeuten. In einigen Erweiterungspaketen fanden sich Windows-Build-Pfade, die einen russischen Arbeitsplatz verraten: \u201eC:\\Users\\ollob\\OneDrive\\\u0414\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u044b\\1.myxa-work\\08.06.26\\&lt;domain&gt;\\&lt;product&gt;\\&lt;product&gt;-release.zip\u201c. Das deutet darauf hin, dass die Angreifer ein kommerzielles VPN-Abonnement-Gesch\u00e4ft in Russland betreiben, das auf einer 12-stelligen Steuernummer basiert.<\/p>\n<h3>Rote Flaggen: Was den Betrug entlarvt<\/h3>\n<p>Die Erweiterungen weisen eine Reihe von Alarmzeichen auf, die einen genauen Blick lohnen. Obwohl die grundlegende Proxy-Funktionalit\u00e4t der einer legitimen VPN-L\u00f6sung gleicht, unterscheidet sich die T\u00e4uschung in den Details. Zu den auff\u00e4lligsten Indikatoren z\u00e4hlen:<\/p>\n<ul>\n<li>Beworbene Premium-Stufen und kostenpflichtige Standorte, die in Wirklichkeit gar nicht existieren<\/li>\n<li>Umgehung von DNS-over-HTTPS-Sperren durch blocklist-evasion<\/li>\n<li>Eine vollst\u00e4ndig gef\u00e4lschte Benutzeroberfl\u00e4che mit animierten Verbindungsanzeigen und Statusindikatoren, obwohl jeder Verbindungsversuch fehlschl\u00e4gt<\/li>\n<li>Ein internes Handbuch mit dem Titel \u201e\u041f\u0440\u043e\u043c\u0442 \u0434\u043b\u044f \u0441\u043e\u0442\u0440\u0443\u0434\u043d\u0438\u043a\u043e\u0432\u201c (Anweisungen f\u00fcr Mitarbeiter), das vorschreibt, die Domain nicht direkt in die Proxy-Einstellungen zu setzen, sondern nur die aufgel\u00f6ste IP-Adresse zu verwenden<\/li>\n<li>Absichtlich irref\u00fchrende Kommentare im Code, die darauf abzielen, die Pr\u00fcfrichtlinien des Chrome Web Stores zu umgehen<\/li>\n<li>Eine nachtr\u00e4gliche Fernkonfiguration, die erst nach der Store-Zulassung aktiviert wird<\/li>\n<li>Identische Einreichungsbegr\u00fcndungen gegen\u00fcber den Store-Pr\u00fcfern, die f\u00e4lschlich \u201eKeine Daten\u00fcbertragung an externe Server\u201c oder \u201eKein Nutzer-Tracking\u201c behaupten<\/li>\n<\/ul>\n<h2>Was bedeutet das f\u00fcr betroffene Nutzer?<\/h2>\n<p>F\u00fcr jeden Nutzer, der eine solche Erweiterung installiert hat, l\u00e4uft jeder einzelne Browser-Request durch einen Server, den der Angreifer kontrolliert. Ob der Betreiber diese Proxy-Server selbst besitzt oder lediglich Kapazit\u00e4ten von einem vorgelagerten Anbieter weiterverkauft, l\u00e4sst sich aus dem Code nicht ableiten. Sollte es sich um eine Wiederverk\u00e4ufer-Struktur handeln, w\u00e4re eine weitere Partei in der Lage, den Datenverkehr mitzulesen. Klar ist laut Pandya: \u201eWas durch die Pakete und die \u00f6ffentliche Infrastruktur belegt ist, sind die T\u00e4uschung durch Markenimitation, die undeklarierte Proxy-Konfiguration, die nicht existierenden Premium-Server, die falschen Angaben gegen\u00fcber den Store-Pr\u00fcfern und die Code-Substitution nach der Zulassung.\u201c<\/p>\n<h3>Gel\u00f6schte Erweiterung kehrt mit Monetarisierungs-Schema zur\u00fcck<\/h3>\n<p>Parallel zu dieser Proxy-Kampagne berichten die Netskope Threat Labs von einem weiteren besorgniserregenden Fall. Die Chrome-Erweiterung \u201eAI Sidebar with Deepseek, ChatGPT, Claude, and more\u201c war bereits im Januar 2026 wegen Prompt-Poaching entfernt worden \u2013 einer Technik, bei der Benutzereingaben an KI-Dienste abgegriffen werden. Nun tauchte sie in einer neuen Version wieder auf. Die Taktik folgt einem klaren Muster: Zun\u00e4chst wurde ein bereinigtes Update ausgerollt, das die Daten-Diebstahl-Funktion entfernte. Nach zwei Wochen jedoch, am 31. <a href=\"https:\/\/overcentral.com\/de\/spiele-juli-2026-highlights\/\" title=\"Die wichtigsten Spiele im Juli 2026: Diese Titel sind Pflicht\" data-iacss-internal=\"1\">Juli 2026<\/a>, folgte \u00fcber Googles CRX-Netzwerk ein weiteres Update. Dieses enthielt einen chirurgisch pr\u00e4zisen 21-zeiligen Code, der bei jedem Update und jeder Deinstallation der Erweiterung einen Affiliate-Link in einem neuen Browser-Tab \u00f6ffnet.<\/p>\n<p>Die Sicherheitsexperten beschreiben dies als ein kalkuliertes Schema: Die Erweiterung gibt vor, sich zu bessern, nur um dann ein neues, monetarisierendes Update nachzuschieben. Anders als zuvor fehlt zwar der Code zum Abgreifen der Konversationen, daf\u00fcr wird der Browser des Nutzers nun f\u00fcr Partner-Werbeeinnahmen missbraucht. Zus\u00e4tzlich wurde die Weiterleitung von DeepSeek-Nutzern zu ChatGPT unterdr\u00fcckt, was das manipulative Potenzial solcher Add-Ons weiter unterstreicht.<\/p>\n<h2>Strategische Implikationen und Ausblick<\/h2>\n<p>Die Vorf\u00e4lle werfen ein Schlaglicht auf ein strukturelles Problem der Chrome-Erweiterungs-Plattform. Die scheinbare Leichtigkeit, mit der hier Tausende von Nutzern \u00fcber einen langen Zeitraum hinweg get\u00e4uscht werden konnten, deutet auf systemische Schw\u00e4chen im Pr\u00fcfprozess hin. F\u00fcr die Zukunft ist zu erwarten, dass Angreifer ihre Taktiken weiter verfeinern werden: Sie setzen auf serielle Updates, die zwischen harmlosen und sch\u00e4dlichen Versionen wechseln, um automatische Scans zu unterlaufen. Die Kombination aus Markenimitation, gezielter Ansprache von Nutzern in L\u00e4ndern mit Internet-Zensur und der Nutzung von Drittanbieter-Proxy-Infrastruktur wird sich als langlebiges Bedrohungsmuster etablieren. Nutzer sollten daher keiner Browser-Erweiterung blind vertrauen, die kostenlosen Zugang zu gesperrten Inhalten verspricht, ohne die tats\u00e4chlichen Datenfl\u00fcsse und die Reputation des Entwicklers einer gr\u00fcndlichen Pr\u00fcfung zu unterziehen.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Eine massive Kampagne mit 737 gef\u00e4lschten Chrome-VPN-Erweiterungen zielt haupts\u00e4chlich auf russischsprachige Nutzer ab, die auf der Suche nach einer Umgehung von Zensurma\u00dfnahmen sind. Statt des versprochenen Schutzes leiten die Add-Ons den gesamten Browserverkehr \u00fcber vom Angreifer kontrollierte Proxy-Server um, was einer vollst\u00e4ndigen Man-in-the-Middle-\u00dcberwachung gleichkommt. Die Sicherheitsfirma Socket deckte auf, dass die Erweiterungen \u00fcber mindestens 40 [&hellip;]<\/p>\n","protected":false},"author":5,"featured_media":48952,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/raw.githubusercontent.com\/medeiroslima\/overcentral-images\/main\/images\/ocie_1786713037230.jpg","fifu_image_alt":"737 Chrome VPN-Erweiterungen leiten Browserverkehr \u00fcber Proxy-Server um","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-48948","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/raw.githubusercontent.com\/medeiroslima\/overcentral-images\/main\/images\/ocie_1786713037230.jpg","fifu_image_alt":"737 Chrome VPN-Erweiterungen leiten Browserverkehr \u00fcber Proxy-Server um","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/48948","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=48948"}],"version-history":[{"count":3,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/48948\/revisions"}],"predecessor-version":[{"id":48951,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/48948\/revisions\/48951"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/48952"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=48948"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=48948"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=48948"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}