Thought Leadership
Google und Microsoft haben die Erweiterung ModHeader mit 1,6 Millionen Downloads entfernt. Grund ist ein versteckter, inaktiver Daten-Sammler.
Die Unternehmen Google und Microsoft haben die populäre Browser-Erweiterung ModHeader aus ihren jeweiligen App-Stores entfernt. Das Werkzeug zur Bearbeitung von HTTP-Headern verzeichnete plattformübergreifend rund 1,6 Millionen Installationen, darunter etwa 900.000 unter Google Chrome und 700.000 unter Microsoft Edge. Die Sicherheitsfirma Stripe OLT aus Großbritannien entdeckte in der offiziellen Store-Version 7.0.18 einen versteckten Programmiercode, der für das Sammeln des Browserverlaufs konzipiert ist. Microsoft entfernte die Erweiterung am 3. Juli 2026 aus dem Edge-Store, Google folgte am 10. Juli 2026. Bislang gibt es keine Beweise dafür, dass die Funktion bereits aktiv Daten abgegriffen oder übertragen hat.
Funktionsweise des inaktiven Erfassungscodes in den App-Stores
Der bösartige Code war in der Hintergrundarchitektur der legitimen Version eingebettet. Nach der Installation generiert das System einen digitalen Fingerabdruck des Geräts. Während des Surfens erfasst die Funktion die Domänen von bis zu 1000 besuchten Webseiten, verschlüsselt diese mittels AES-256-GCM und speichert sie lokal. Ein geplanter Task sollte diese Daten einmal täglich an die Serveradresse api.stanfordstudies.com übertragen. Dass dieser Prozess bislang fehlschlug, liegt an einer internen Freigabeliste, die im Auslieferungszustand leer war. Eine Aktivierung der Spionagefunktion hätte jedoch durch ein einfaches, routinemäßiges Update ohne die Anforderung neuer Berechtigungen durchgeführt werden können. Unabhängige Analysen der Versionen 7.0.17 und 7.0.18 bestätigten diese Infrastruktur.
Protokollierung im Klartext und Infrastrukturdaten
Trotz der Inaktivität der Hauptkomponente liefen andere Funktionen im Hintergrund. Bei der Installation, Aktualisierung und Deinstallation sendete die Erweiterung Telemetriedaten an die Adresse extensions-hub.com. Zudem protokollierte ein Skript Metadaten von HTTP-Anfragen im Klartext im lokalen Speicher des Nutzers. Die für die Datenübermittlung vorbereiteten Domänen stehen in keiner Verbindung zu echten Bildungseinrichtungen. Die Server-Infrastruktur deutet laut den Analysten auf einen gemeinsamen Betreiber hin. Automatisierte Sicherheits-Scanner bewerteten die Erweiterung im Vorfeld als risikoarm, da der bösartige Code komprimiert war und die Datenübertragung durch die leere Freigabeliste in Sandbox-Umgebungen nicht ausgelöst wurde.
Handlungsempfehlungen für Systemadministratoren
Sicherheitsrelevante Netzwerke sollten auf die Präsenz der Erweiterung überprüft und diese gegebenenfalls von den Endgeräten gelöscht werden. Da ModHeader in der Vergangenheit auch vollständige HTTP-Header auf Datenträgern gespeichert hat, müssen darin genutzte Geheimnisse wie API-Schlüssel, Bearer-Token oder Sitzungs-Cookies ausgetauscht werden. Für die Netzwerksicherheit wird empfohlen, die Kommunikationsdaten zu stanfordstudies.com und extensions-hub.com auf Proxy- und DNS-Ebene zu sperren sowie Protokolle nach der Erweiterungs-ID zu durchsuchen.
(red)
