Уязвимость в Chromium позволяет вредоносным расширениям обходить проверки безопасности

Chromium prüft bei jedem Start, ob jemand an der Erweiterungsliste manipuliert hat. Genau diese Prüfung ist bei PEEP der Türöffner: Der Baukasten rechnet die Prüfsummen einfach passend nach, und der Browser hakt die untergeschobene Erweiterung beim nächsten Start selbst als vertrauenswürdig ab — ohne Warnung, ohne Store, ohne Zutun des Nutzers. Die Sicherheitsfirma SOCRadar hat das Werkzeug auseinandergenommen. Inhalt Warum der Browser die Erweiterung selbst freischaltet Vier Schichten, die ein Aufräumen überstehen Der Bausatz verrät mehr über seine Bauer als über seine Opfer Warum der Browser die Erweiterung selbst freischaltet Chromium sichert den Zustand installierter Erweiterungen in einer Datei namens Secure Preferences ab: je Eintrag eine Prüfsumme, darüber eine Gesamtsumme. Das soll verhindern, dass sich Schadsoftware still in die Liste schreibt. Der Haken liegt im Startwert dieser Berechnung — er steht offen im Chromium-Quelltext. PEEP trägt seinen Eintrag ein, rechnet beide Summen neu, und die Kontrolle bestätigt am Ende genau die Manipulation, die sie abfangen sollte. Nach außen tritt die Erweiterung als „Smart Bookmarks“ auf, intern heißt sie „PEEP Client“. In keinem offiziellen Store liegt sie — dorthin muss sie auch nicht. Neben der nachgerechneten Prüfsumme kennt der Baukasten zwei weitere Wege auf den Rechner: die Unternehmensrichtlinie, mit der Firmen Erweiterungen verbindlich ausrollen, und klassisches Sideloading. Anzeige Der Unterschied zu Edgecution, das im Juni über eine gefälschte Teams-Nachricht in Edge einstieg, ist grundlegend: PEEP hat überhaupt keinen Einstiegsvektor. Der Baukasten setzt voraus, dass der Rechner bereits übernommen ist, Administratorrechte oder Codeausführung also schon vorliegen. SOCRadar führt ihn deshalb als reines Nachnutzungs-Werkzeug und stellt den Erstzugang im eigenen Schaubild ausdrücklich außerhalb des Betrachtungsrahmens. Damit verschiebt sich die interessante Frage von der Tür zu dem, was danach passiert. Vier Schichten, die ein Aufräumen überstehen Die eigentliche Arbeit erledigt nicht die Erweiterung, sondern ein zweites Programm daneben. Über Chromes Native-Messaging-Schnittstelle, gedacht für den Austausch zwischen Erweiterungen und echten Desktop-Programmen, reicht PEEP Befehle an eine Windows-Datei namens nm_host.exe weiter. Ab da geht es um Shell-Kommandos, Lesen und Schreiben von Dateien, Auflisten von Prozessen — alles im Kontext des angemeldeten Nutzers. Zusätzliche Rechte verschafft sich der Baukasten nicht. Interessanter ist, wie hartnäckig er sich festsetzt. SOCRadar zählt vier voneinander unabhängige Verankerungen: den bestätigten Eintrag in den Secure Preferences, die Richtlinie zum Zwangsausrollen, den registrierten Native-Messaging-Host und einen Trick, den die Forscher Ghost Anchor nennen. Chrome legt kompilierte Hintergrundskripte in einem Zwischenspeicher ab und ordnet sie nach Adresse zu, nicht nach Inhalt. Wer die Skriptdateien im Ordner durch leere, harmlose Hüllen ersetzt und dabei Kennung, Version und Pfad unverändert lässt, bekommt beim nächsten Start trotzdem die alte, kompilierte Fassung serviert. Ein Ordner, der sauber aussieht, läuft also weiter. Wenn ich in verwalteten Umgebungen durch die Gruppenrichtlinien gehe, ist die Liste der zugelassenen Native-Messaging-Hosts der Eintrag, den praktisch nie jemand pflegt — Erweiterungsrichtlinien stehen auf Standard, weil sie beim Ausrollen vor allem Arbeit machen. Genau dort sitzt der Hebel: Wer die Zwangsliste und die erlaubten Hosts eng zurrt, nimmt dem Baukasten zwei seiner vier Wege. Auf die Dokumentation des Werkzeugs sollte man sich dabei nicht verlassen. Sie behauptet, Shell-Befehle müssten erst über einen Schalter freigegeben werden; laut Analyse lassen die Standardprofile sie ungefiltert durch, während ausgerechnet für Dateizugriffe Pfadgrenzen gelten. Der Bausatz verrät mehr über seine Bauer als über seine Opfer PEEP ist keine Eigenentwicklung. Er setzt auf RedExt auf, einem offen verfügbaren Framework für Red-Team-Übungen, und übernimmt dessen Anmeldung, Befehlsabfrage und Abflusslogik; ergänzt wurden die Brücke aus dem Browser heraus, beliebige JavaScript-Ausführung und das automatische Einsammeln von Zugangsdaten. Auch die Installationstechnik stammt aus einer öffentlichen Machbarkeitsstudie, die in den Entwicklernotizen ordentlich genannt wird. Der Baukasten liegt dabei offen herum. Auf einem zweiten Port fand SOCRadar ein unverschlossenes Verzeichnis mit 38 Paketvarianten, dazu ein Änderungsprotokoll über fünf Versionen, unverschleierten Quelltext und ein Testprotokoll auf Traditionellem Chinesisch. In jedem der 38 Pakete steckt außerdem die Datei extension.pem — der private Teil des Signaturschlüssels. Wer den Fund in Händen hält, kann Updates für genau diese Erweiterungs-Kennung signieren. Anzeige Bei den Mengenangaben lohnt der zweite Blick. Die 83 gefundenen Erweiterungspakete schrumpfen auf 20 verschiedene Prüfsummen, 41 Skriptdateien auf vier, und alle 38 Kopien des Hilfsprogramms sind identisch. Das sind Entwicklungsstände, keine 83 Kampagnen. Ähnlich zurückhaltend bleibt SOCRadar beim Thema Linux: Ein Python-Skript und Installationsdateien für Linux liegen bei, ein lauffähiges Linux-Programm wurde aber nicht gefunden — die Unterstützung ist bislang Konzept. Am aufschlussreichsten ist die Schutzbehauptung. Das Anmeldefenster der Steuerzentrale ist chinesisch beschriftet und trägt in der Fußzeile den Hinweis, die Umgebung diene ausschließlich autorisierten Sicherheitswettbewerben. Belege dafür fehlen vollständig: kein Auftragsrahmen, keine Regeln, keine Veranstaltungsnummer, keine Zielliste. SOCRadar hält für möglich, dass die Etikettierung die Schutzmechanismen von KI-Werkzeugen bei der Entwicklung weicher machen sollte, betont aber, dass dafür weder Eingaben noch Anbieter-Protokolle vorliegen. Mich überzeugt die Wettbewerbs-Erklärung nicht: Ein Übungsaufbau richtet sich nicht wahlweise in einem isolierten Testprofil oder im Alltagsprofil des Nutzers ein — und die ausgelieferten Pakete zeigen ab Werk auf das Alltagsprofil. Was hier zusammenkommt, ist die eigentliche Nachricht: ein öffentliches Übungs-Framework, eine öffentliche Machbarkeitsstudie zur stillen Installation und ein Browser, dessen Integritätsprüfung mit einem bekannten Startwert arbeitet. Aus drei frei verfügbaren Bausteinen entsteht eine Hintertür mit vier Verankerungen, die den Sandkasten des Browsers verlässt. Der Schutz dagegen ist unspektakulär und liegt seit Jahren bereit — in den Erweiterungs- und Native-Messaging-Richtlinien, die in den meisten Umgebungen unangetastet auf Standard stehen. Browser-Erweiterung Chrome Malware Microsoft Edge