Bösartige AI-Browser-Erweiterungen stehlen LLM-Chats

Einführung: Warum das wichtig ist

AI-Assistenten-Browser-Erweiterungen werden immer häufiger als "Produktivitäts"-Add-ons für Wissensarbeiter genutzt, insbesondere für den schnellen Zugriff auf Tools wie ChatGPT und DeepSeek. Die Untersuchung von Microsoft Defender zeigt, wie diese Bequemlichkeit zu einem Kanal für Datenverlust im Unternehmen werden kann: Eine täuschend ähnlich aussehende Erweiterung, die aus einem vertrauenswürdigen Marketplace installiert wird, kann kontinuierlich sensible Prompts, Antworten und interne URLs sammeln und exfiltrieren, ohne sich wie klassische Malware zu verhalten.

Was ist neu / wichtigste Erkenntnisse

Microsoft Defender untersuchte bösartige Chromium-Erweiterungen, die:

• Legitime AI-Assistenten-Erweiterungen imitieren und dabei vertrautes Branding sowie Berechtigungsabfragen verwenden (Defender weist auf die Nachahmung bekannter Tools wie AITOPIA hin).
• LLM-Chatinhalte und Browsing-Telemetrie sammeln, darunter:
  • Vollständige besuchte URLs (einschließlich interner Websites)
  • Chat-Ausschnitte (Prompts und Antworten) von Plattformen wie ChatGPT und DeepSeek
  • Modellkennungen, Navigationskontext und eine persistente UUID
• Wie normale Erweiterungen bestehen bleiben (automatisches Neuladen beim Browserstart, Speichern von Telemetrie im lokalen Erweiterungsspeicher).
• Daten regelmäßig per HTTPS POST exfiltrieren, was wie routinemäßiger Webverkehr wirken kann.

Laut Defender-Reporting erreichten die Erweiterungen ~900.000 Installationen, wobei Defender-Telemetrie Aktivität in mehr als 20.000 Unternehmensmandanten bestätigt.

So funktioniert der Angriff (auf hoher Ebene)

• Bereitstellung: Veröffentlicht im Chrome Web Store mit AI-bezogenen Beschreibungen. Da Microsoft Edge Erweiterungen aus dem Chrome Web Store unterstützt, ermöglicht dieselbe Listung browserübergreifende Reichweite.
• Ausnutzung von Vertrauen und Berechtigungen: Umfassende Chromium-Erweiterungsberechtigungen erlaubten die Beobachtung von Seiteninhalten und Browsing-Aktivitäten. Es wurde ein irreführender Zustimmungsmechanismus verwendet, und Updates konnten Telemetrie standardmäßig erneut aktivieren, selbst nachdem Nutzer sie deaktiviert hatten.
• Command and control: Regelmäßige Uploads an von Angreifern kontrollierte Domains wie deepaichats[.]com und chatsaigpt[.]com, wobei lokale Puffer nach der Übertragung gelöscht wurden, um Artefakte zu reduzieren.

Auswirkungen auf IT-Administratoren und Endnutzer

• Risiko von Datenabfluss: Prompts enthalten häufig proprietären Code, interne Prozesse, Strategiediskussionen, in Chats kopierte Zugangsdaten und andere vertrauliche Inhalte. Die Exfiltration vollständiger URLs kann die Struktur interner Anwendungen und sensible Query-Strings offenlegen.
• Compliance- und Datenschutzrisiken: Erfasste Chatverläufe können regulierte oder personenbezogene Daten enthalten und damit Aufbewahrungs-, eDiscovery- und Datenresidenzpflichten erschweren.
• Erweiterungsrisiko wird zu "always on": Anders als ein einmaliges Phishing-Ereignis kann eine bösartige Erweiterung kontinuierliche Sichtbarkeit auf Nutzeraktivitäten über Sitzungen hinweg schaffen.

Empfohlene Maßnahmen / nächste Schritte

1. Bekannte Exfiltrationsendpunkte suchen und blockieren, indem ausgehender HTTPS-POST-Datenverkehr überwacht und Netzwerk-Kontrollen angewendet werden für:
   • *.chatsaigpt.com
   • *.deepaichats.com
   • *.chataigpt.pro
   • *.chatgptsidebar.pro
2. Browser-Erweiterungen inventarisieren und prüfen auf verwalteten Endpunkten, mit Fokus auf AI-/Sidebar-Tools mit umfassenden Site-Berechtigungen.
3. Governance für Erweiterungen verschärfen:
   • Allowlisting für genehmigte Erweiterungen verwenden
   • Installationsquellen nach Möglichkeit einschränken
   • Update-Verhalten und Berechtigungsdrift überprüfen
4. Microsoft Defender Vulnerability Management verwenden, um Browser extensions assessment auszuführen, riskante Erweiterungen zu identifizieren und die Behebung zu priorisieren.
5. Nutzer schulen: AI-Chats wie sensible Kommunikation behandeln – keine Geheimnisse, Tokens oder proprietären Inhalte einfügen, sofern Tool und Zugriffsweg nicht ausdrücklich genehmigt sind.