Chrome-Erweiterungen leiten 13 Millionen Suchanfragen um

Das Sicherheitsunternehmen Socket hat 319 Erweiterungen für den Browser Chrome identifiziert, die die Suchanfragen ihrer Nutzer umleiten. Zusammen kommen sie auf 13,4 Millionen gemeldete Installationen. Der Forscher John Tuckner hatte bereits im April 2025 57 solcher Erweiterungen mit 6 Millionen Nutzern entdeckt. Im neuen Bericht kommen 264 Erweiterungen mit weiteren 8,7 Millionen Nutzern hinzu.

Laut Tuckner stecken wenige organisierte Betreiber hinter den Erweiterungen. Sie übernehmen die Standardsuchmaschine des Browsers, leiten jede Suchanfrage über einen eigenen Proxy-Server und kassieren unter einer Partnerkennung Provisionen von Yahoo oder Bing. Die Erweiterungen geben sich etwa als PDF-Konverter, Werkzeuge für Bedienungsanleitungen, sichere Suche oder KI-Suche aus. Sie sind zwar im Chrome Web Store gelistet, erscheinen dort aber nicht in der Suche. Beworben werden sie stattdessen über zweifelhafte Anzeigen auf Websites.

Kaum Code nötig

Viele der Erweiterungen benötigen laut Tuckner kaum eigenen Code. Chrome erlaubt Erweiterungen über die Einstellung chrome_settings_overrides, den Standardsuchanbieter zu ersetzen. Eine untersuchte Erweiterung bestand nur aus einer Manifest-Datei und Icons, ohne Skripte und ohne angeforderte Berechtigungen.

Ziel kann sich jederzeit ändern

Derzeit dienen die Erweiterungen vor allem dazu, Provisionen zu erzielen. Da jede Suche über einen Server der Betreiber läuft, lässt sich das Ziel aber jederzeit ändern, ohne die Erweiterung zu aktualisieren, etwa auf Phishing-Seiten oder schädliche Downloads. Bei der Erweiterung Predator Search führten sechs identische Suchanfragen zu vier verschiedenen Zielen, darunter Yahoo mit Partnerkennung, Zwischenseiten anderer Suchdomains und eine Fehlerseite.

„Die Erweiterung hat sich nie verändert; der Proxy hat jedes Ziel gewählt, als die Suche hereinkam.”
John Tuckner, Sicherheitsforscher

Die größten aktiven Gruppen sind laut Socket „Bing-Search” mit 37 Erweiterungen und 2,2 Millionen Nutzern sowie „SecuryBrowse” mit 58 Erweiterungen und 4,9 Millionen Nutzern. Letztere bewirbt sicherheitsbezogene Add-ons wie Fire Shield, Securify und WatchTower.

Die meisten Erweiterungen waren bei Veröffentlichung des Berichts bereits aus dem Chrome Web Store entfernt, laufend kommen aber neue hinzu. Socket hat die vollständige Liste veröffentlicht. Nutzer sollten betroffene Erweiterungen deinstallieren, ihr System auf Schadsoftware prüfen und kontrollieren, ob ihre Standardsuchmaschine verändert wurde. Google hat sich gegenüber BleepingComputer bislang nicht geäußert.

(red)