Ein neu entdeckter PowerShell-Infostealer nutzt Schwachstellen in der Application-Bound Encryption von Chromium-Browsern und tarnt sich in Installern populärer Entwickler-Tools - mit potenziellen Folgen für sensible Unternehmensdaten
Ein aktueller Bericht aus der Cybersicherheitsforschung zeigt, dass eine neuartige Schadsoftware gezielt auf Entwicklerinnen und Entwickler abzielt, die populäre KI-Tools und Entwicklungsumgebungen nutzen. Im Zentrum steht ein PowerShell-basierter Infostealer, der es schafft, die von Google eingeführte Application-Bound Encryption (ABE) in Chromium-basierten Browsern wie Chrome, Edge und Brave zu umgehen. Die Malware wird über manipulierte Installationsseiten verbreitet, die sich als legitime Quellen für bekannte Entwickler-Tools ausgeben.
Verbreitungsweg über gefälschte Installationsseiten
Die Angreifer nutzen gezielt gesponserte Suchergebnisse, um Nutzerinnen und Nutzer auf präparierte Webseiten zu lenken. Dort werden scheinbar authentische Installationsbefehle für Tools wie Claude Code präsentiert. Die Besonderheit: Die sichtbare Installationsdatei enthält tatsächlich legitimen Code, während die eigentliche Manipulation ausschließlich über die HTML-Darstellung der Webseite erfolgt. Beim Kopieren des Installationsbefehls wird ein abweichender, schädlicher Befehl in die Zwischenablage gelegt, der beim Einfügen in die PowerShell-Konsole ausgeführt wird. Diese Methode erschwert die frühzeitige Erkennung durch automatisierte Sicherheitssysteme erheblich.
Nach der Ausführung startet ein mehrstufiger PowerShell-Loader, der zunächst Systeminformationen sammelt und installierte Chromium-Browser identifiziert. Die Malware analysiert die sogenannten Local-State-Dateien der Browser, um an die verschlüsselten Schlüssel zu gelangen, die für den Zugriff auf gespeicherte Zugangsdaten, Cookies und weitere sensible Informationen benötigt werden.
Technische Umgehung der Application-Bound Encryption
Mit der Einführung von ABE wollte Google den Diebstahl von Browserdaten durch Schadsoftware erschweren. Seit Chrome 127 sind die Entschlüsselungsschlüssel nicht mehr ausschließlich durch die Windows Data Protection API (DPAPI) geschützt, sondern zusätzlich an den privilegierten Chromium Elevation Service gebunden. Die nun beobachtete Malware nutzt jedoch eine native, nur 4,6 KB große PE-Komponente, die per Process Hollowing in einen laufenden Browserprozess injiziert wird. Über die Microsoft-Architektur Component Object Model (COM) und die Schnittstellen IElevator beziehungsweise IElevator2 wird der Chromium-Elevation-Service gezielt angesprochen, um die Entschlüsselung der Schlüssel zu ermöglichen.
Die Kommunikation zwischen PowerShell-Loader und der nativen Komponente erfolgt über sogenannte Named Pipes, die optisch legitimen Chromium-Mojo-Kanälen ähneln. Die Malware generiert dabei charakteristische Pipe-Namen, die sich von den zufällig erzeugten Originalen unterscheiden und so ein mögliches Erkennungsmerkmal für Sicherheitsanalysen bieten.
Erkennungsmerkmale und Herausforderungen für die Verteidigung
Die Architektur der Schadsoftware ist darauf ausgelegt, klassische Erkennungsmechanismen zu umgehen. Während der PowerShell-Loader für die meisten verdächtigen Aktivitäten verantwortlich ist - darunter das Auslesen von Browserdatenbanken, das Erstellen von ZIP-Archiven und die Exfiltration der Daten - übernimmt die native Komponente ausschließlich den gezielten COM-Aufruf zur Schlüsselentschlüsselung. Dadurch fehlen in der Binärdatei viele typische Indikatoren für Malware, was die Detektion erschwert.
Ein auffälliges technisches Detail ist die fehlerhafte Implementierung der Edge-IElevator2-GUID in der Malware. Dieser Fehler führt dazu, dass die Initialisierung unter aktuellen Edge-Versionen fehlschlägt, was jedoch operativ kaum Auswirkungen hat, da die Schadsoftware automatisch auf ältere Schnittstellen zurückgreift. Für Verteidiger entsteht daraus jedoch ein einzigartiges Erkennungsmerkmal, das für Signaturen und Speicheranalysen genutzt werden kann.
Empfohlene Maßnahmen und offene Fragen
Die Analyse legt nahe, dass moderne Browser-Schutzmechanismen wie ABE zwar die Hürde für Angreifer erhöhen, aber keinen vollständigen Schutz bieten, wenn Schadcode bereits im Benutzerkontext ausgeführt wird. Effektive Erkennungsstrategien sollten daher verschiedene Telemetriequellen kombinieren, darunter PowerShell Script Block Logging, AMSI-Telemetrie, Überwachung von COM-Aufrufen sowie die Analyse verdächtiger Named Pipes und Zugriffe auf Browser-Local-State-Dateien. Die eigentliche Herausforderung bleibt, dass die Aufteilung der Malware in einen PowerShell-Orchestrator und eine minimalistische native Komponente die Sichtbarkeit für viele klassische Sicherheitslösungen deutlich reduziert.
Bislang liegen keine Angaben zu konkreten Schadensfällen oder betroffenen Unternehmen in Deutschland oder Europa vor. Die Verbreitung über gefälschte Installationsseiten populärer Entwickler-Tools deutet jedoch darauf hin, dass insbesondere Unternehmen mit Fokus auf KI-Entwicklung und Softwareengineering ein erhöhtes Risiko tragen. Die genaue Zahl der betroffenen Systeme und das Ausmaß der exfiltrierten Daten sind derzeit nicht öffentlich bekannt.
Application-Bound Encryption (ABE) ist ein Sicherheitsmechanismus, der von Google für Chromium-basierte Browser eingeführt wurde, um gespeicherte Zugangsdaten und andere sensible Informationen besser vor Diebstahl durch Schadsoftware zu schützen. Im Unterschied zur klassischen DPAPI werden die Entschlüsselungsschlüssel zusätzlich an einen privilegierten Browserdienst gebunden. Dies soll verhindern, dass Schadsoftware, die im Benutzerkontext läuft, ohne Weiteres auf die verschlüsselten Daten zugreifen kann. Die aktuelle Angriffsmethode zeigt jedoch, dass auch solche Schutzmechanismen umgangen werden können, wenn Angreifer legitime Schnittstellen des Browsers missbrauchen.
