Kwaadwillende browserextensies: de stille afvoer van inloggegevens in de web store
Een browserextensie krijgt meer vertrouwen dan bijna elke andere software die een gebruiker installeert. Het krijgt een vaste plek binnen de sessie, vaak met toestemming om gegevens op elke bezochte site te lezen en te wijzigen. Precies dat vertrouwen monetiseren auteurs van kwaadwillende extensies, en een reeks gedocumenteerde campagnes laat zien hoe store-aanbiedingen die eruitzien als gewone hulpmiddelen stilletjes werken als afvoer van inloggegevens.
Wat een extensie kan bereiken
Het bereik wordt bepaald door de machtigingen die een gebruiker goedkeurt. Onderzoekers van Kaspersky sommen de reeks op: cookies, wachtwoorden en betaalkaartgegevens uit webformulieren, klembordinhoud, schermafbeeldingen, zelfs toetsaanslagen vastgelegd als een keylogger. Echte campagnes sluiten daarbij aan. Socket, een bedrijf in supply-chainbeveiliging, documenteerde meer dan 100 kwaadwillende extensies in de Chrome Web Store in april 2026; 54 ervan gebruikten de aanroep chrome.identity.getAuthToken om Google OAuth2-bearer-tokens te oogsten waarmee de operator als de gebruiker kan optreden, en één extensie trok elke vijftien seconden Telegram Web-sessiegegevens uit de lokale opslag en kon de sessie van het slachtoffer overschrijven met door de aanvaller aangeleverde gegevens. Een tweede aanbieding die jaren overleefde: in december 2025 meldde BleepingComputer twee extensies in de Chrome Web Store genaamd Phantom Shuttle, verkocht voor $1,4 tot $13,6 als proxy-testtools voor gebruikers in China en actief ten minste sinds 2017. De extensies leidden meer dan 170 waardevolle domeinen om via proxies onder controle van de aanvaller en vingen, handelend als man-in-the-middle, formulierinzendingen af, lazen sessiecookies uit HTTP-headers en haalden API-tokens eruit. Beide stonden nog aangeboden toen het rapport verscheen. Store-aanbiedingen en de loaders die ze omzeilen
De schaal is niet marginaal. Volgens Kasperskys samenvatting van gegevens uit 2020 verwijderde Google 106 datadiefstal-Chrome-extensies met in totaal 32 miljoen downloads, met netwerken in financiën, olie en gas, zorg en overheid als slachtoffer. De campagne van Socket laat zien dat het formaat nog actief is: de extensies schuilten achter vijf uitgeversidentiteiten en categorieën uiteenlopend van Telegram-clients tot gokspellen en videoverbeteraars, en 45 ervan bevatten een verborgen startfunctie die opdrachten ophaalde bij infrastructuur van de aanvaller. Lang niet elke kwaadwillende extensie doorloopt überhaupt een store-review. Trend Micro's rapport van november 2023 over ParaSiteSnatcher documenteerde een modulair, zwaar geobfusceerd framework, afgeleverd door een VBScript-downloader gehost op Dropbox en Google Cloud. Nadat het slachtoffer was geregistreerd en geobfusceerde command-and-control-URL's waren opgehaald, verwijderde het installatieprogramma de browsersnelkoppelingen en maakte nieuwe die de extensie laden, waarmee de persistentie was verankerd. De extensie onderschepte POST-verzoeken met accountgegevens voordat ze de browser verlieten, volgde saldi, manipuleerde PIX-transacties bij Braziliaanse banken en stal cookies, waaronder Microsoft live.com-cookies bruikbaar voor pass-the-cookie-aanvallen op cloudaccounts. De reviewkloof: goedkeuring dekt de upload, niet de toekomst
De store-review onderzoekt het pakket dat een ontwikkelaar uploadt. Ze kan niet onderzoeken wat dezelfde extensie maanden later doet. Kaspersky wijst erop dat extensies automatisch bijwerken, zodat een legitieme add-on achteraf kwaadwillend kan worden: de extensie Particle werd verkocht en bijgewerkt om advertenties te injecteren en bereikte meer dan 30.000 gebruikers voordat ze werd gestopt. Extern gehoste code gaat verder, want een pakket dat zijn eigenlijke logica bij een server ophaalt tijdens uitvoering is in de praktijk oncontroleerbaar. Manifest V3 is Google's structurele antwoord: extensies moeten alle code die ze uitvoeren bundelen in het beoordeelde pakket, en extern gehoste code, JavaScript of WebAssembly van buitenaf geladen, wordt geweigerd, inclusief dode codepaden die het zouden kunnen laden. De motivering is precies het probleem na goedkeuring: code die na de review kan veranderen maakt de review waardeloos. De uitzonderingen zijn nauw: user-scriptmanagers, de debugger-interface en afgeschermde iframes. De bevinding van Socket dat 45 extensies runtime-opdrachten ophaalden bij een centrale server toont het gedrag waarop de regel doelt, en waarom controle van de aanbieding alleen het mist. Praktische verdediging
De routine is weinig glanzend. Controleer periodiek de lijst met geïnstalleerde extensies en verwijder alles wat niet herkend of gebruikt wordt; Socket publiceerde de extensie-ID's van zijn campagne zodat gebruikers hun eigen lijst konden vergelijken met als kwaadwillend bekende items. Houd het totaal laag, want elke installatie is een permanente machtiging die stilletjes verlengd wordt. Behandel machtigingsgroei als waarschuwingssignaal, Kaspersky's voorbeeld is een rekenmachine die locatie of browsegeschiedenis vraagt. Geef de voorkeur aan extensies met een stabiele uitgever en een kleine, uitlegbare set machtigingen boven wat bovenaan de store-zoekopdracht staat. Compartimenteer: een apart browserprofiel voor bankieren en accountbeheer beperkt wat één add-on kan bereiken, en dezelfde logica drijft ondernemingen om store-extensies op beheerde apparaten te blokkeren of af te dwingen. De prijs is de geauthenticeerde sessie, hetzelfde doel dat mobiele banktrojans zoals ToxicPanda najagen, benaderd van binnenuit de browser in plaats van via een overlay op het scherm. Een extensie vraagt minder aandacht dan een phishingmail en betaalt voor de operator vergelijkbaar. De gedocumenteerde campagnes verschillen in levering, store-aanbieding, automatische update, dropper en snelkoppeling, maar delen de vorm: de aanbieding bemachtigen, vertrouwen winnen, wachten en dan inloggegevens afvoeren vanuit een positie die de gebruiker nooit ziet.
