{"id":50640,"date":"2026-08-31T09:50:17","date_gmt":"2026-08-31T07:50:17","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=50640"},"modified":"2026-08-31T09:50:17","modified_gmt":"2026-08-31T07:50:17","slug":"chrome-edge-erweiterungen-stehlen-krypto-wallet-50640","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/chrome-edge-erweiterungen-stehlen-krypto-wallet-50640\/","title":{"rendered":"19 Chrome- und Edge-Erweiterungen stehlen Krypto-Wallet-Zugangsdaten"},"content":{"rendered":"

Ende August 2026<\/a> deckten Sicherheitsforscher eine koordinierte Kampagne auf, die 19 Browser-Erweiterungen f\u00fcr Google Chrome und Microsoft Edge umfasst. Diese Erweiterungen wurden \u00fcber die letzten sechs Monate ver\u00f6ffentlicht und enthalten versteckte Funktionen zum Stehlen von Krypto-Wallet-Zugangsdaten sowie zum Abziehen von Kryptow\u00e4hrungen. Die Analyse von Socket Security<\/a> zeigt, dass die Erweiterungen auf einer gemeinsamen Codebasis und Taktik beruhen und die Aktivit\u00e4ten vermutlich bereits seit Februar 2024 laufen. Die Bedrohung wird unter dem Namen Superior<\/strong> verfolgt.<\/p>\n

Die Taktik der Superior-Kampagne: Legitime Fassade, b\u00f6sartiges Update<\/h2>\n

Die Vorgehensweise der Angreifer ist raffiniert und folgt einem wiederkehrenden Muster: Entweder erwerben sie bereits bestehende, legitime Erweiterungen von ihren urspr\u00fcnglichen Entwicklern oder sie ver\u00f6ffentlichen eine zun\u00e4chst vollkommen schadcodefreie Version. Sobald eine Erweiterung eine ausreichende Anzahl von Nutzern erreicht hat, wird ein Update mit der b\u00f6sartigen Funktionalit\u00e4t ausgerollt. Da Chrome und Edge standardm\u00e4\u00dfig automatische Updates durchf\u00fchren, erhalten die Nutzer die infizierte Version ohne ihr Wissen.<\/p>\n

Von den identifizierten Erweiterungen wurden 14 direkt vom Bedrohungsakteur erstellt, die restlichen f\u00fcnf von fr\u00fcheren Eigent\u00fcmern \u00fcbernommen. Die vollst\u00e4ndige Liste der betroffenen Erweiterungen lautet:<\/p>\n

Vom Bedrohungsakteur \u00fcbernommene Erweiterungen<\/h3>\n
    \n
  • Enable Right Click & Copy \u2014 Smart Unlock + OCR<\/strong> (ID: koccklolohdacbfooifnpebakpbeipc)<\/li>\n
  • RapidLens – Google Lens for Screen Search & Images<\/strong> (ID: fegckejpfnlmfgkfjpinlbgmeeijjkel)<\/li>\n
  • QuickLens – Search Screen with Google Lens<\/strong> (ID: kdenlnncndfnhkognokgfpabgkgehodd)<\/li>\n
  • Password Protect PDF<\/strong> (ID: jamminefolhgepgihbmcjjhgldbfcikp)<\/li>\n
  • Allow Copy – Select & Enable Right Click<\/strong> (ID: inmkjedjdhgpknjogbjomhnbgdccckkg, Microsoft Edge)<\/li>\n<\/ul>\n

    Vom Bedrohungsakteur erstellte und ver\u00f6ffentlichte Erweiterungen<\/h3>\n
      \n
    • PixelCheck<\/strong> (ID: fcgdejjichpgfaaafflplhfijcnieopb)<\/li>\n
    • Creative Library – Ad Spy Tool<\/strong> (ID: cfpnjdbpojpcongfaefcamjbaolpelcd)<\/li>\n
    • Website Traffic Checker: MirrorSphere SEO Stats<\/strong> (ID: aapdalkmclfaahehnmicbglkohkldhne)<\/li>\n
    • Site Signal – Website Traffic & SEO Checker<\/strong> (ID: dkdadldmiefjldmegbjbnhhfddnkhlhm)<\/li>\n
    • SEO Pulse Pro – Website Traffic & SEO Analyzer<\/strong> (ID: fjmlhlkccegopebcllcmafahkmeejpph)<\/li>\n
    • Private Crypto News Reader<\/strong> (ID: iekoapohahgmogbagegmcgplbkikcgke)<\/li>\n
    • Blockfolio: Address Monitor<\/strong> (ID: ahpnnnjbnfbhoikhohglpohnoocjcoco)<\/li>\n
    • Crypto Rates & Fiat Converter<\/strong> (ID: oeacadlaclegkkkdehjmiifnjhcekclj)<\/li>\n
    • Crypto Alerter: Price Alarms & Volatility Warnings<\/strong> (ID: jmlgannjlbliikgcaieomgmcnfplglea)<\/li>\n
    • DeFi Pulse Tracker<\/strong> (ID: lhmcajhgadanidbopgaoobjlldegjmke)<\/li>\n
    • Crypto Price Badge: Quick Glance<\/strong> (ID: gfackggoapepdmnjnkblogdcjpgcjiak)<\/li>\n
    • Multi-Chain Explorer<\/strong> (ID: hfijkbdkpidafdbeebnnkhfccildbcle)<\/li>\n
    • LedgerLook: Wallet Checker<\/strong> (ID: cngchfbfgejllcbhmeadjhiebebiome)<\/li>\n
    • Meta & Facebook Ad Library Spy \u2014 Save Ads, Finder, Downloader | FeedX-Ray<\/strong> (ID: aodkjdeghbjiaienipfjkbpcikkacbcp)<\/li>\n<\/ul>\n

      Bereits im M\u00e4rz 2026 wurde die Erweiterung QuickLens – Search Screen with Google Lens<\/strong> von Sicherheitsforschern als sch\u00e4dlich eingestuft. Damals wurde dokumentiert, dass sie Schadsoftware an nachgelagerte Nutzer ausliefert, beliebigen JavaScript-Code in Webseiten injiziert und sensible Daten abgreift. Die neuen Erkenntnisse von Socket Security zeigen nun, dass die Aktivit\u00e4ten deutlich umfangreicher sind und seit Februar 2024 andauern. Bereits im Mai 2025 hatte DomainTools Investigations Teilaspekte dieser Kampagne beschrieben.<\/p>\n

      Technische Analyse: Wie die Erweiterungen arbeiten<\/h2>\n

      Die Erweiterungen besitzen eine Doppelfunktionalit\u00e4t: Sie erf\u00fcllen \u00e4u\u00dferlich die versprochene Aufgabe, etwa das Anzeigen von SEO-Daten oder das Umrechnen von Kryptow\u00e4hrungen, gleichzeitig bauen sie jedoch eine permanente WebSocket-Verbindung zu einem Command-and-Control-Server (C2) auf. \u00dcber diese Verbindung empfangen sie Anweisungen und k\u00f6nnen Daten exfiltrieren. Besonders raffiniert ist die F\u00e4higkeit, den C2-Endpunkt auf Basis von Anweisungen des prim\u00e4ren C2-Servers zu wechseln. Dadurch k\u00f6nnen die Angreifer ihre Opfer auf verschiedene Gruppen und dedizierte C2-Infrastrukturen verteilen, was die Erkennung erschwert. Auch der Datensammel-Endpunkt wird dynamisch \u00fcber die C2-Befehle festgelegt, sodass f\u00fcr jedes Opfer ein eigener Kanal entsteht.<\/p>\n

      Die sch\u00e4dliche Codebasis enth\u00e4lt 16 verschiedene Module, die \u00fcber Content-Scripts in Webseiten injiziert werden. Zuvor werden die Content-Security-Policy-Header (CSP) jeder Seite entfernt, um die Injektion zu erm\u00f6glichen. Die Module decken folgende Angriffsvektoren ab:<\/p>\n

        \n
      • Multi-Chain-Wallet-Drainer (Abziehen von Kryptow\u00e4hrungen aus verschiedenen Blockchains)<\/li>\n
      • Hardware-Wallet-Seed-Phrase-Harvester (Abgreifen von Wiederherstellungsphrasen von Hardware-Wallets)<\/li>\n
      • Cryptocurrency-Exchange- und Wallet-Account-Harvester (Zugangsdaten zu B\u00f6rsen und Wallets)<\/li>\n
      • Universal-Credential- oder Form-Grabber (Generelles Abgreifen von Anmeldedaten und Formulardaten)<\/li>\n
      • Facebook- und LinkedIn-Account-Diebstahl<\/li>\n
      • Browserverlaufs-Diebstahl<\/li>\n
      • ClickFix-Lure (Vort\u00e4uschen eines gef\u00e4lschten Browser-Updates)<\/li>\n<\/ul>\n

        Das ClickFix-Modul ist besonders perfide: Es blendet eine gef\u00e4lschte Browser-Update-Benachrichtigung ein und gibt dem Nutzer betriebssystemspezifische Anweisungen, einen sch\u00e4dlichen Befehl zu kopieren und in die Eingabeaufforderung einzuf\u00fcgen. Auf diese Weise wird die Malware direkt auf dem System installiert.<\/p>\n

        Gr\u00f6\u00dfte Gefahr: Enable Right Click & Copy mit 80.000 Nutzern<\/h2>\n

        Die Erweiterung mit der h\u00f6chsten potenziellen Reichweite ist Enable Right Click & Copy \u2014 Smart Unlock + OCR<\/strong>. Sie ist sowohl f\u00fcr Chrome als auch f\u00fcr Edge verf\u00fcgbar und hat eine installierte Basis von rund 80.000 Nutzern. Jede der 19 Erweiterungen ist in der Lage, eine persistente Verbindung zu einem C2-Server aufzubauen und Daten zu exfiltrieren. Die Tatsache, dass die Kampagne bereits seit \u00fcber zwei Jahren erfolgreich l\u00e4uft, deutet auf einen sehr f\u00e4higen Bedrohungsakteur hin.<\/p>\n

        Schutz und Bedeutung f\u00fcr Nutzer<\/h2>\n

        Das gr\u00f6\u00dfte Risiko f\u00fcr Endanwender liegt in der Betriebstaktik: Der Angreifer erwirbt legitime Erweiterungen oder ver\u00f6ffentlicht zun\u00e4chst harmlose Versionen, um dann nachtr\u00e4glich b\u00f6sartige Updates auszuspielen. In Kombination mit der Standardeinstellung automatischer Updates in Chrome und Edge entsteht ein m\u00e4chtiger Hebel, um die Reichweite und den Schaden zu maximieren. Nutzer sollten daher regelm\u00e4\u00dfig die installierten Erweiterungen \u00fcberpr\u00fcfen, insbesondere solche mit Zugriff auf Krypto-Wallets oder vertrauliche Webseiten. Die \u00dcberpr\u00fcfung der Berechtigungen und das Deaktivieren automatischer Updates f\u00fcr kritische Erweiterungen k\u00f6nnen helfen, das Risiko zu mindern. Browser-Hersteller sind gefordert, die \u00dcberpr\u00fcfung von Updates zu versch\u00e4rfen und verd\u00e4chtige \u00c4nderungen an Erweiterungen zu kennzeichnen.<\/p>\n

        Die Superior-Kampagne zeigt einmal mehr, wie Supply-Chain-Angriffe \u00fcber Browser-Erweiterungen funktionieren. Die Angreifer nutzen das Vertrauen der Nutzer in scheinbar n\u00fctzliche Tools aus und schalten die sch\u00e4dliche Funktionalit\u00e4t erst nach einer ausreichenden Verbreitung frei. Die kommenden Monate werden zeigen, ob die Plattformbetreiber die automatischen Update-Mechanismen sicherer gestalten k\u00f6nnen, um solche nachtr\u00e4glichen Infektionen zu verhindern. Bis dahin bleibt die manuelle Kontrolle der installierten Erweiterungen der wirksamste Schutz.<\/p>\n","protected":false},"excerpt":{"rendered":"

        Ende August 2026 deckten Sicherheitsforscher eine koordinierte Kampagne auf, die 19 Browser-Erweiterungen f\u00fcr Google Chrome und Microsoft Edge umfasst. Diese Erweiterungen wurden \u00fcber die letzten sechs Monate ver\u00f6ffentlicht und enthalten versteckte Funktionen zum Stehlen von Krypto-Wallet-Zugangsdaten sowie zum Abziehen von Kryptow\u00e4hrungen. Die Analyse von Socket Security zeigt, dass die Erweiterungen auf einer gemeinsamen Codebasis und […]<\/p>\n","protected":false},"author":5,"featured_media":53929,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/50640.png","fifu_image_alt":"19 Chrome- und Edge-Erweiterungen stehlen Krypto-Wallet-Zugangsdaten","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-50640","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/50640.png","fifu_image_alt":"19 Chrome- und Edge-Erweiterungen stehlen Krypto-Wallet-Zugangsdaten","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/50640","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=50640"}],"version-history":[{"count":2,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/50640\/revisions"}],"predecessor-version":[{"id":50645,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/50640\/revisions\/50645"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/53929"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=50640"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=50640"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=50640"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}