Die meisten Schadprogramme wollen irgendwann raus aus dem Browser. Dieses hier will hinein — und bleiben. Sicherheitsforscher von SOCRadar haben am 7. September einen Baukasten beschrieben, der sich als harmlose Lesezeichen-Erweiterung ausgibt und den Browser danach als dauerhafte Hintertür in den Rechner benutzt. Der Name im Quellcode: PEEP.
Das Tarnkleid ist bewusst langweilig gewählt. Die Erweiterung nennt sich schlicht „Smart Bookmarks“ und trägt die ID ejkndncpkdcjcikfhiamcdehdoegilbj. Wer sie in der Liste seiner Add-ons sieht, denkt an ein Werkzeug zum Sortieren von Favoriten.
DER TRICK: Am Web Store komplett vorbei
PEEP wird nicht installiert, wie du eine Erweiterung installierst. Der Installer schreibt sie direkt in dein Chrome- oder Edge-Profil — ohne Store, ohne Nachfrage, ohne die übliche Warnbox.
Damit Chrome das schluckt, fälscht der Installer die Prüfwerte in Chromiums eigener Datei Secure Preferences. Das ist genau die Datei, mit der Chrome eigentlich erkennen soll, ob jemand von außen an der Erweiterungsliste manipuliert hat. Dazu kommen drei PowerShell-Skripte, die den Entwicklermodus einschalten, die Prüfwerte patchen und die Erweiterung auch dann wieder aktivieren, wenn du sie einmal entfernt hast.
Ein Python-Skript mit dem Namen patch_secure_prefs_linux.py liegt ebenfalls im Baukasten. Wer auch immer dahintersteckt, baut den Ablauf gerade für Linux nach.
WARUM DAS SCHLIMMER IST ALS EIN NORMALER SCHNÜFFLER
Eine bösartige Erweiterung kann normalerweise das, was der Browser kann: Seiten lesen, Cookies mitnehmen, Verlauf abgreifen. PEEP kann mehr. Es bringt eine zweite Datei mit, nm_host.exe, und verbindet sich über Chromes offizielle Schnittstelle Native Messaging mit ihr.
Damit ist die Grenze zwischen Browser und Betriebssystem weg. Über diese Brücke laufen Shell-Befehle, Dateiverwaltung und die Suche nach laufenden Prozessen und Diensten — alles mit deinen Rechten. SOCRadar formuliert es so: Weil die Logik im signierten Browser-Prozess läuft, greifen die üblichen Alarme auf neue oder unsignierte Programme nicht.
WAS PEEP ABZIEHT — UND WIE OFT
Alle 30 Sekunden fragt die Erweiterung ihren Steuerserver nach neuen Aufträgen. Sie tut das über schlichtes, unverschlüsseltes HTTP. Zwei Adressen sind bekannt: die IP 206.237.30[.]232 und die Domain xfjcc[.]fun.
Automatisch abgeholt werden Cookies, kürzlicher Verlauf, offene Tabs, die gerade aktive Adresse, die öffentliche IP, Sprache und Zeitzone. Auf Zuruf kommen Screenshots, Zwischenablage, eingeschleustes JavaScript und veränderte Webseiten dazu.
DIE HERKUNFT: Ein Red-Team-Werkzeug, weitergebaut
PEEP ist keine Neuentwicklung. Es sitzt auf RedExt auf, einem quelloffenen Baukasten für Browser-Analyse und legitime Angriffssimulationen. Ergänzt wurden eigene Installationsroutinen, die Brücke ins Betriebssystem, ein Lebenszeichen-Kanal, ein Update-Weg und deutlich mehr Befehle.
Zur Urheberschaft gibt es keine belastbare Zuordnung. Im Quelltext stehen chinesischsprachige Spuren, mehr sagt SOCRadar nicht. Kurios: An mehreren Stellen taucht der Hinweis auf „autorisierte CTF-Nutzung“ auf — möglicherweise, um KI-Werkzeuge beim Bauen des Codes zu einer harmloseren Einschätzung zu bewegen.
WIE GROSS IST DAS WIRKLICH?
Ehrlich bleiben: eher klein, jedenfalls bisher. Der Steuerserver hat einen offenen /health-Endpunkt, der ohne Login 34 Agenten-Einträge, 10 aktive Sitzungen und 507 Datensätze ausweist. Ob das echte Opfer sind oder Testeinträge des Entwicklers, lässt sich von außen nicht trennen. Wer angegriffen wird, ist unbekannt.
Der Punkt ist trotzdem nicht die Zahl. Der Punkt ist die Bauweise: Wenn dein Rechner ohnehin schon kompromittiert ist, ist der Browser das eine Programm, das dauerhaft läuft, ständig ins Internet spricht und dem jede Sicherheitssoftware vertraut.
WAS DU JETZT PRÜFEN KANNST
- Öffne
chrome://extensionsbeziehungsweiseedge://extensionsund schalte oben rechts die Entwicklermodus-Ansicht ein. Jede Erweiterung ohne Store-Herkunft ist erklärungsbedürftig. - Steht dort „Smart Bookmarks“, die du nie installiert hast? Entfernen — und danach prüfen, ob sie nach einem Neustart wieder da ist.
- Schau nach der Datei
nm_host.exeund nach einem Native-Messaging-Eintrag namenscom.peep.lab. - Der Entwicklermodus im Browser gehört bei einem Rechner, auf dem du nichts entwickelst, schlicht aus.
Und die unbequeme Wahrheit zum Schluss: PEEP kommt nicht von allein auf den Rechner. Es braucht vorher Administratorrechte oder eine andere Codeausführung. Wenn du es findest, ist die Erweiterung nicht das Problem — sie ist der Beweis, dass es schon eines gab.