{"id":51521,"date":"2026-09-08T02:56:52","date_gmt":"2026-09-08T00:56:52","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=51521"},"modified":"2026-09-08T02:56:52","modified_gmt":"2026-09-08T00:56:52","slug":"peep-malware-chrome-edge-hintertuer-51521","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/peep-malware-chrome-edge-hintertuer-51521\/","title":{"rendered":"PEEP macht Chrome und Edge nach Kompromittierung zu Hintert\u00fcren f\u00fcr Host-Befehle"},"content":{"rendered":"

Cybersecurity-Forscher haben ein komplexes Post-Exploitation-Toolkit namens PEEP<\/strong> aufgedeckt, das als Lesezeichen-Erweiterung f\u00fcr Webbrowser getarnt ist. Nach einer erfolgreichen Kompromittierung des Systems verwandelt es Google<\/a> Chrome und Microsoft<\/a> Edge in ferngesteuerte Hintert\u00fcren, \u00fcber die Angreifer Host-Befehle ausf\u00fchren, Daten stehlen und Sitzungen kapern k\u00f6nnen. Das Toolkit erfordert vorab administrative Zugriffsrechte oder Codeausf\u00fchrung auf dem Zielrechner und umgeht die Sicherheitsmechanismen der Browser, indem es die Erweiterung direkt in die Benutzerprofile von Chrome und Edge einschleust.<\/p>\n

So funktioniert die PEEP-Malware<\/h2>\n

Der Installer von PEEP injiziert eine als \u201eSmart Bookmarks\u201c (ID: ejkndncpkdcjcikfhiamcdehdoegilbj) getarnte Erweiterung in die Profile der Browser. Dabei manipuliert er die Secure-Preferences-Datei von Chromium, um die Erweiterung automatisch zu aktivieren \u2013 und dies ohne Zustimmung des Nutzers oder eine Pr\u00fcfung durch den Chrome Web Store. Die Erweiterung dient als Hauptagent: Sie kontaktiert alle 30 Sekunden \u00fcber unverschl\u00fcsseltes HTTP den Kommando- und Kontrollserver (C2) unter den Adressen 206.237.30[.]232<\/strong> oder xfjcc[.]fun<\/strong>.<\/p>\n

Der Agent fragt regelm\u00e4\u00dfig den Endpunkt \/api\/commands<\/code>codecode ab, um neue Befehle zu empfangen, sammelt Browserdaten wie Verlauf, ge\u00f6ffnete Tabs und Cookies und sendet die Ergebnisse \u00fcber \/api\/exfil<\/code>codecode an den C2-Server zur\u00fcck. Dar\u00fcber hinaus nutzt PEEP eine Native-Messaging-Schnittstelle: Ein ausf\u00fchrbares Hilfsprogramm (nm_host.exe<\/code>codecode) wird aufgerufen, wenn ein Befehl Betriebssystemzugriffe erfordert \u2013 etwa Shell-Kommandos, Dateimanipulation oder Prozessabfragen. Reine Browserbefehle wie Screenshots, Zwischenablage-Zugriff oder JavaScript-Injektion werden lokal innerhalb der Erweiterung ausgef\u00fchrt.<\/p>\n

Technische Details: API-Endpunkte und Persistenz<\/h3>\n

Die Erweiterung kommuniziert \u00fcber mehrere spezifische Endpunkte mit der C2-Infrastruktur:<\/p>\n

    \n
  • \/api\/register<\/code>codecode zur Registrierung einer neuen Infektion<\/li>\n
  • \/api\/agents\/<id>\/heartbeat<\/code>codecode zum Senden von Browserkennung, Betriebssystem und Zeitzone<\/li>\n
  • \/api\/extension_update\/<\/code>codecode und \/api\/extension_crx\/<\/code>codecode zur Aktualisierung der Erweiterung<\/li>\n
  • \/api\/agents\/<id>\/task_result<\/code>codecode zum \u00dcbermitteln der Befehlsausgaben<\/li>\n
  • \/api\/exfil<\/code>codecode zum Hochladen automatisch gesammelter Daten wie Cookies, Verlauf, aktive URL, \u00f6ffentliche IP und Spracheinstellungen<\/li>\n
  • \/health<\/code>codecode zur Anzeige des Systemstatus ohne Authentifizierung<\/li>\n
  • \/login<\/code>codecode als Zugangsschnittstelle f\u00fcr das C2-Panel auf Port 5001<\/li>\n<\/ul>\n

    Um dauerhaft im Browser zu bleiben, manipuliert PEEP die Datei Secure Preferences<\/strong>, sodass die Erweiterung bei jedem Browserstart aktiviert wird. Da sie nicht in offiziellen Stores verf\u00fcgbar ist, nutzen die Angreifer zudem die Gruppenrichtlinien ExtensionInstallForcelist<\/code>codecode oder ExtensionSettings<\/code>codecode, um die Erweiterung zu erzwingen, oder setzen auf Sideloading-Techniken. Drei PowerShell-Skripte unterst\u00fctzen die Installation:<\/p>\n

      \n
    • install_silent.ps1<\/code>codecode aktiviert den Entwicklermodus, um beliebige Erweiterungen zu laden<\/li>\n
    • patch_secure_prefs.ps1<\/code>codecode patcht die Secure-Preferences-Datei<\/li>\n
    • force_enable.ps1<\/code>codecode entfernt die Erweiterung aus der Blockierliste, platziert die CRX-Datei im lokalen AppData-Ordner und startet den Browser neu<\/li>\n<\/ul>\n

      Ein Python-Skript (patch_secure_prefs_linux.py<\/code>codecode) deutet darauf hin, dass die Bedrohungsakteure auch Linux-Systeme ins Visier nehmen.<\/p>\n

      Hintergrund und Einordnung der Bedrohung<\/h2>\n

      PEEP baut auf dem Open-Source-Framework RedExt<\/strong> auf, das urspr\u00fcnglich f\u00fcr Browser-Datenanalyse und Red-Teaming entwickelt wurde. RedExt kam bereits bei den fr\u00fcheren GlassWorm-Angriffen zum Einsatz. PEEP erweitert das Framework jedoch um eigene Installationsroutinen, eine Native-Messaging-Br\u00fccke, Heartbeat-Telemetrie, einen Updatekanal und einen breiteren Befehlssatz. Es handelt sich somit um eine abgeleitete, spezialisierte Version.<\/p>\n

      Das Toolkit wird als Post-Exploitation-Framework beschrieben, da es keinen eigenen initialen Zugriffsvektor besitzt. Das bedeutet: Der Angreifer muss das Zielger\u00e4t bereits auf andere Weise kompromittiert haben, bevor PEEP installiert werden kann. Die Aktivit\u00e4ten sind bislang keiner bestimmten Gruppe zugeordnet, aber im Quellcode fanden sich chinesischsprachige Artefakte, was auf einen chinesischsprachigen Bedrohungsakteur hindeutet.<\/p>\n

      SOCRadar identifizierte zudem mehrere Verweise auf einen \u201eAuthorized CTF\u201c (Capture the Flag) \u2013 offenbar ein Versuch, KI-Tools wie ChatGPT durch Vorgabe eines legalen Nutzungskontexts zu umgehen, um bei der Malware-Entwicklung Hilfe zu erhalten. Ob PEEP bereits gegen reale Opfer eingesetzt wird, ist unklar. Der \/health<\/code>codecode-Endpunkt des C2-Servers zeigte zum Zeitpunkt der Analyse 34 Agenteneintr\u00e4ge<\/strong>, 10 aktive Sessions<\/strong> und 507 gespeicherte Datens\u00e4tze<\/strong>. Allerdings l\u00e4sst sich nicht unterscheiden, ob es sich um echte Infektionen oder Testeintr\u00e4ge handelt.<\/p>\n

      Bedeutung f\u00fcr die Sicherheit im Unternehmensumfeld<\/h3>\n

      PEEP ist ein Paradebeispiel daf\u00fcr, wie Browser-Erweiterungen nach einer initialen Kompromittierung zu vollwertigen Hintert\u00fcren werden k\u00f6nnen. Indem die Malware innerhalb des signierten Browserprozesses l\u00e4uft, umgeht sie viele Endpoint-Detection-Systeme, die auf neue oder unsignierte Bin\u00e4rdateien achten. Der Browser fungiert als pivot \u2013 erlaubt Zugriff auf das Betriebssystem und erm\u00f6glicht credential theft, Sitzungsmissbrauch und die Ausf\u00fchrung beliebiger Kommandos. Unternehmen sollten daher besonders auf Richtlinien achten, die die Installation von Erweiterungen aus externen Quellen unterbinden, und den Entwicklermodus auf verwalteten Ger\u00e4ten deaktivieren. Die Entwicklung solcher Frameworks zeigt, dass Browser zunehmend als Angriffsfl\u00e4che f\u00fcr persistente Bedrohungen dienen \u2013 eine Entwicklung, die Sicherheitsteams im deutschsprachigen Raum gleicherma\u00dfen betrifft wie weltweit.<\/p>\n","protected":false},"excerpt":{"rendered":"

      Cybersecurity-Forscher haben ein komplexes Post-Exploitation-Toolkit namens PEEP aufgedeckt, das als Lesezeichen-Erweiterung f\u00fcr Webbrowser getarnt ist. Nach einer erfolgreichen Kompromittierung des Systems verwandelt es Google Chrome und Microsoft Edge in ferngesteuerte Hintert\u00fcren, \u00fcber die Angreifer Host-Befehle ausf\u00fchren, Daten stehlen und Sitzungen kapern k\u00f6nnen. Das Toolkit erfordert vorab administrative Zugriffsrechte oder Codeausf\u00fchrung auf dem Zielrechner und umgeht […]<\/p>\n","protected":false},"author":5,"featured_media":55050,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/51521.png","fifu_image_alt":"PEEP macht Chrome und Edge nach Kompromittierung zu Hintert\u00fcren f\u00fcr Host-Befehle","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-51521","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/51521.png","fifu_image_alt":"PEEP macht Chrome und Edge nach Kompromittierung zu Hintert\u00fcren f\u00fcr Host-Befehle","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51521","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=51521"}],"version-history":[{"count":1,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51521\/revisions"}],"predecessor-version":[{"id":51522,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51521\/revisions\/51522"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/55050"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=51521"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=51521"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=51521"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}