Auf den Punkt: Die populäre HTTP-Header-Erweiterung ModHeader enthielt Programmiercode zum Erfassen von Browserverlauf, der durch ein einfaches Update ohne zusätzliche Berechtigungen hätte aktiviert werden können.
Google und Microsoft haben die Browser-Erweiterung ModHeader mit 1,6 Millionen Downloads aus ihren Stores entfernt, nachdem die britische Sicherheitsfirma Stripe OLT einen versteckten, bisher inaktiven Daten-Sammler entdeckt hatte.
Google Chrome und Microsoft Edge haben die Erweiterung ModHeader am 10. Juli bzw. 3. Juli 2026 aus ihren App-Stores entfernt. Das Werkzeug verzeichnete etwa 900.000 Installationen in Chrome und 700.000 in Edge. Sicherheitsanalysten der britischen Firma Stripe OLT identifizierten in der offiziellen Version 7.0.18 einen versteckten Code-Block, der Browser-Aktivitäten gezielt erfasste und übertragen sollte. Bisherige Analysen deuten darauf hin, dass keine aktive Datenabfrage oder Übertragung stattgefunden hat.
Die Infrastruktur des inaktiven Codes funktioniert nach folgendem Prinzip: Nach der Installation generiert die Erweiterung einen digitalen Geräte-Fingerabdruck. Während der Nutzung erfasst sie die Domänen von bis zu 1000 besuchten Websites, verschlüsselt diese mittels AES-256-GCM und speichert sie lokal. Ein geplanter Task sollte die Daten täglich an „api.stanfordstudies.com“ übertragen. Dieser Prozess blieb wirkungslos, weil eine notwendige Freigabeliste im Auslieferungszustand leer war. Allerdings hätte ein Betreiber diese Funktion per Routine-Update ohne zusätzliche Berechtigungsabfrage aktivieren können. Unabhängige Analysen der Versionen 7.0.17 und 7.0.18 bestätigten diese Architektur.
Neben dem Erfassungscode liefen weitere Hintergrund-Funktionen. Bei Installation, Update und Deinstallation sendete ModHeader Telemetriedaten an „extensions-hub.com“. Ein weiteres Skript protokollierte HTTP-Metadaten unverschlüsselt im lokalen Speicher. Die für die Datenübertragung vorgesehenen Domänen korrespondieren nicht mit echten Bildungseinrichtungen; die Serverinfrastruktur deutet Analysten zufolge auf einen gemeinsamen Betreiber hin. Automatisierte Scanner beurteilten die Erweiterung vorher als risikoarm, da der Spionagecode komprimiert war und die Datenübertragung in Sandbox-Umgebungen durch die leere Freigabeliste nicht ausgelöst wurde.
Für CISOs und Systemadministratoren empfehlen sich folgende Maßnahmen: Unternehmens-Netzwerke sollten auf das Vorhandensein von ModHeader überprüft und die Erweiterung von Endgeräten entfernt werden. Da ModHeader in früheren Versionen auch komplette HTTP-Header lokal speicherte, müssen darin verwendete Geheimnisse wie API-Schlüssel, Bearer-Token und Session-Cookies als kompromittiert betrachtet und erneuert werden. Im Netzwerk sollte die Kommunikation zu „stanfordstudies.com“ und „extensions-hub.com“ auf Proxy- und DNS-Ebene blockiert und Protokolle auf die Erweiterungs-ID durchsucht werden.
Quelle: www.it-daily.net · Erschienen 19. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.