Zum Artikel springen

ShadyPanda & Co: Die Gefahr bösartiger Browser-Erweiterungen (2026)

CyberLord Threat Intel

ShadyPanda & Co: Die Gefahr bösartiger Browser-Erweiterungen (2026)

Sie laden einen PDF-Konverter, einen Adblocker oder einen "Dark Mode" für Chrome herunter. Er funktioniert super.

Was Sie nicht wissen: Im Hintergrund liest diese Erweiterung Ihre E-Mails, stiehlt Ihre Facebook-Cookies und ersetzt Google-Suchergebnisse durch Betrugswerbung.

Dies ist kein theoretisches Szenario. Im Jahr 2025/2026 ist die Kampagne "ShadyPanda" eines der größten Botnetze, das ausschließlich auf Browser-Erweiterungen basiert. Millionen Nutzer sind infiziert, ohne es zu ahnen.

In diesem Artikel analysieren wir, wie diese Malware funktioniert, warum Virenscanner sie oft übersehen und wie Sie Ihren Browser wieder sauber bekommen.

Anatomie eines Angriffs: Der "ShadyPanda" Modus

Die Gruppe hinter ShadyPanda ist schlau. Sie programmieren keine .exe Viren, die Windows Defender sofort blockiert. Sie nutzen JavaScript, das direkt im Browser läuft.

Schritt 1: Die Infektion (Malvertising)

Der Nutzer sucht nach "PDF kostenlos zusammenfügen" oder "Video Downloader". Er landet auf einer seriös aussehenden Seite, die sagt: "Installieren Sie unsere Chrome-Extension, um fortzufahren." Da der Chrome Web Store als vertrauenswürdig gilt, klickt der Nutzer auf "Hinzufügen".

Schritt 2: Der "Schläfer" (Dormancy)

Die ersten 3 Tage macht die Erweiterung... nichts. Sie verhält sich wie ein normaler PDF-Konverter. Dies dient dazu, automatische Analysen von Google zu täuschen.

Schritt 3: Die Aktivierung

Am Tag 4 lädt die Erweiterung heimlich Code von einem Command-and-Control (C2) Server nach. Jetzt beginnt der Schaden:

  1. Search Hijacking: Wenn Sie auf Google nach "Schuhe kaufen" suchen, werden Sie unmerklich über Affiliate-Links umgeleitet. Die Hacker verdienen Provision.
  2. Cookie Stealing: Die Erweiterung kopiert Ihre Sitzungs-Cookies für Amazon, Facebook oder Binance und sendet sie an die Hacker. Diese können sich nun in Ihre Konten einloggen, ohne Ihr Passwort zu kennen (Session Hijacking).
  3. Ad Injection: Auf seriösen Nachrichtenseiten tauchen plötzlich Anzeigen für Glücksspiel oder Krypto-Betrug auf.

Warum Virenscanner oft versagen

Klassische Antiviren-Programme scannen Dateien auf der Festplatte. Browser-Erweiterungen leben aber in einer Art "Blase" (Sandbox) innerhalb des Browsers. Zudem verschleiern (obfuskieren) die Hacker den JavaScript-Code so stark, dass er für Scanner nur wie Datensalat aussieht.

Erkennung: Bin ich infiziert?

Achten Sie auf diese subtilen Warnzeichen:

  1. Die Suchmaschine ändert sich: Sie tippen in die Adresszeile, aber statt Google öffnet sich Bing, Yahoo oder eine seltsame Seite wie secure-search.net.
  2. "Verwaltet von Ihrer Organisation": Wenn Sie im Chrome-Menü ganz unten sehen: "Ihr Browser wird von Ihrer Organisation verwaltet", obwohl es Ihr privater PC ist. Das ist ein Zeichen, dass Malware Systemrichtlinien gesetzt hat, um die Deinstallation zu verhindern.
  3. Werbung an unmöglichen Orten: Pop-ups auf Wikipedia oder der Seite Ihrer Bank.
  4. Unbekannte Erweiterungen: Gehen Sie zu chrome://extensions. Sehen Sie dort Dinge wie "App", "V1.0" oder Icons, die wie Puzzleteile aussehen?

Berechtigungen verstehen: Was die angeforderten Rechte wirklich bedeuten

Beim Klick auf „Hinzufügen“ erscheint ein Dialog, den die meisten Nutzer reflexartig bestätigen. In diesem Moment überträgt der Browser die Kontrolle über die Rechte, die in der Datei manifest.json der Erweiterung deklariert sind. ShadyPanda-Erweiterungen forderten von Beginn an maximale Zugriffe, weil gestohlener Cookie-Export und Such-Manipulation sonst unmöglich wären. Wer die wichtigsten Berechtigungen kennt, erkennt eine fatale Auswahl schon vor der Installation.

Die kritischen Berechtigungen im Detail

  • „Lese- und ändere alle Daten auf allen Websites“ (technisch: Host-Berechtigung für alle URLs): Die Erweiterung kann jede aufgerufene Seite mitlesen und verändern – Formulareingaben, Cookies, komplette Sitzungen im Webmail-Client. Ein Adblocker braucht dieses Recht im Zweifel zwingend; ein Taschenrechner oder ein Farbwerkzeug dagegen kaum.
  • „Lese- und ändere Ihren Datenverlauf“: Zugriff auf die Chronik inklusive Suchanfragen. Einzelne Werkzeuge wie Verlaufsaufräum-Dienste haben dafür einen nachvollziehbaren Zweck, die meisten anderen nicht.
  • „Mit kooperierenden nativen Programmen kommunizieren“ (Native Messaging): Besonders heikel, weil diese Berechtigung eine Brücke über die Grenze der Browser-Sandbox hinweg schlägt.
  • Download-, Lesezeichen- und Benachrichtigungsrechte: In Kombination mit breitem Host-Zugriff eröffnen sie Angriffswege wie erzwungene Downloads oder täuschend echte Systemmeldungen.

Als Faustregel gilt: Die angeforderten Rechte sollten so eng wie möglich am eigentlichen Zweck liegen. Moderne Browser bieten im Dialog deshalb abgestufte Optionen wie „Beim Klick auf die Erweiterung“ oder „Auf ausgewählten Websites“ – treffen Sie die schmalere Stufe, wann immer sie verfügbar ist.

Bereinigung: So werden Sie ShadyPanda los

Einfach auf "Entfernen" klicken reicht bei moderner Malware oft nicht. Sie kommt beim Neustart wieder.

Phase 1: Der einfache Versuch

  1. Tippen Sie chrome://extensions in die Adresszeile.
  2. Aktivieren Sie oben rechts den Entwicklermodus.
  3. Klicken Sie bei der verdächtigen Erweiterung auf Entfernen.

Phase 2: Für hartnäckige Fälle ("Managed by Organization")

Wenn der Entfernen-Button ausgegraut ist, hat die Malware die Windows Registry manipuliert.

  1. Drücken Sie Windows + R, tippen Sie regedit ein.
  2. Navigieren Sie zu: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\ExtensionInstallForcelist
  3. Löschen Sie dort alle Einträge, die auf seltsame IDs verweisen.
  4. Löschen Sie auch den Ordner ...Chrome\ExtensionInstallSources falls vorhanden.
  5. Starten Sie den PC neu.

Phase 3: Browser-Reset

Oft ist es am sichersten, den Browser auf Werkseinstellungen zurückzusetzen.

  • Chrome: Einstellungen -> Einstellungen zurücksetzen.
  • Edge: Einstellungen -> Einstellungen zurücksetzen.
  • Achtung: Sichern Sie vorher Ihre Lesezeichen!

Nach der Bereinigung: Incident Response in vier Schritten

Das Entfernen der Erweiterung stoppt den Zugriff, beseitigt aber nicht die Folgen. Diese Reihenfolge hat sich in der Praxis bewährt:

  1. Sitzungen invalidieren, nicht nur Passwörter ändern. Gestohlene Sitzungs-Cookies umgehen das Passwort vollständig. Melden Sie sich daher von einem sauberen Gerät aus – also einem Gerät, auf dem die schädliche Erweiterung nie lief – bei Ihren wichtigsten Konten an, beginnend mit dem E-Mail-Postfach, und nutzen Sie dort die Funktion „Von allen Geräten abmelden“. Erst danach ändern Sie Passwörter und aktivieren Zwei-Faktor-Authentifizierung, idealerweise mit Passkeys.
  2. Versteckte Konfiguration prüfen. Öffnen Sie die Web-Oberfläche Ihres E-Mail-Kontos und kontrollieren Sie Weiterleitungsregeln, unbekannte App-Passwörter sowie den Abschnitt „Apps mit Kontozugriff“. Werfen Sie außerdem einen Blick auf den Anmeldeverlauf nach fremden Geräten und auf Shopping- und Bezahldienste nach Bestellungen oder Händlerkonten, die nicht von Ihnen stammen.
  3. Arbeitsgeräte sofort der IT melden. Lief die schädliche Erweiterung in einem Firmenprofil oder auf einem Dienstrechner, gehört der Vorfall unmittelbar an den internen Support, nicht erst nach Abschluss einer privaten Aufräumaktion. Gekaperte Single-Sign-On-Cookies können sonst lange unentdeckt bleiben.
  4. Befunde strukturiert übergeben. Nützlich für die Auswertung sind der Name und die Erweiterungs-ID, der Installations- und Update-Zeitpunkt, Screenshots von chrome://extensions und auffälliger Pop-ups, die Liste der Websites, auf denen Sie im betroffenen Zeitraum angemeldet waren, sowie die Chronologie Ihrer Bereinigungsschritte. Diese Kategorien ermöglichen es der IT, betroffene Konten und Systeme mit Ihrer Einwilligung gezielt zu untersuchen, statt im Blindflug zu suchen.

Audit: Installierte Erweiterungen systematisch prüfen

Wer auf Nummer sicher gehen will, prüft seinen Bestand nicht nur auf Verdacht hin, sondern nach fester Checkliste:

  1. Bestandsaufnahme unter chrome://extensions: Erfassen Sie für jeden Eintrag Name, Versionsnummer, Erweiterungs-ID (im Entwicklermodus unter „Details“ sichtbar) und das Datum „Zuletzt aktualisiert“.
  2. Herausgeber im Chrome Web Store bewerten: Öffnen Sie den Store-Eintrag und prüfen Sie, welche weiteren Erweiterungen derselbe Entwickler anbietet, wie lange der Eintrag existiert und wie die Bewertungen verteilt sind. Ein nur wenige Tage altes Herausgeberkonto hinter einer viel gelobten Erweiterung ist ebenso ein Warnsignal wie ein plötzlicher Schwall von Fünf-Sterne-Bewertungen, die alle im gleichen Zeitraum abgegeben wurden.
  3. Unternehmensrichtlinien sichtbar machen: Unter chrome://policy lässt sich ablesen, welche Erweiterungen per Richtlinie erzwungen oder blockiert werden. Administratoren ergänzen die Prüfung um die Schlüssel ExtensionInstallForcelist und ExtensionSettings und beschränken Installationen konsequent auf eine Allowlist.
  4. Dokumentation für den Support: Die Bestandsliste aus Schritt 1, ergänzt um Screenshots, gibt dem Support eine konkrete Grundlage, wenn es später um die Bewertung von Verdachtsmomenten geht; auf privaten Geräten genügt die eigene Notiz für den Fall, dass Konten gesichert werden müssen.

Der Auto-Update-Fallstrick: Wenn eine saubere Erweiterung kippt

Das meist unterschätzte Risiko ist nicht die offen bösartige Erweiterung aus dem Store, sondern der stille Kurswechsel. Der Browser spielt Updates ohne Nachfrage ein; ein jahrelang harmloses Werkzeug kann deshalb mit einem einzigen nachgelieferten Update zur Schadsoftware werden. Genau darauf beruhen die Phasen des „Schläfers“ oben: Der Aktivierungscode steckt nicht im anfänglichen Paket, sondern wird später vom Kommandoserver abgefragt, den der Store-Check vor der Veröffentlichung nie zu Gesicht bekam. Bekannt wurde ein vergleichbarer Fall, in dem Angreifer über einen gekaperten Entwicklerzugang ein bösartiges Update an Millionen Nutzer einer legitimen Erweiterung ausspielten.

Drei Gewohnheiten begrenzen dieses Risiko:

  1. Berechtigungs-Upgrades ernst nehmen: Fordert ein Update neue Rechte an, muss der Browser die Bestätigung erneut einholen – genau dieser Moment ist der richtige, um abzuwägen statt zu klicken.
  2. Kleiner Bestand, Überblick: Je weniger Erweiterungen installiert sind, desto leichter fällt es, Änderungen im Verhalten überhaupt zu bemerken.
  3. Herstellerinformationen beobachten: Im Unternehmenskontext lohnt es sich, Sicherheitsmitteilungen der Anbieter zu verfolgen oder Versionsfreigaben zentral zu steuern, bevor Updates automatisch einlaufen.

Prävention: Die "Least Privilege" Regel

Wie verhindern Sie das in Zukunft?

  1. Nur vertrauenswürdige Quellen: Installieren Sie nur Erweiterungen von bekannten Herstellern (z.B. Adobe, Evernote, LastPass). Meiden Sie Erweiterungen von "Entwickler123" mit wenigen Bewertungen.
  2. Berechtigungen prüfen: Warum braucht ein "Taschenrechner" Zugriff auf "Alle Daten auf allen Websites"? Das ist ein Warnsignal. Lehnen Sie ab.
  3. Weniger ist mehr: Jede Erweiterung ist ein potenzielles Sicherheitsrisiko. Deinstallieren Sie alles, was Sie nicht täglich brauchen.

Fazit

Der Browser ist das neue Betriebssystem. Wir erledigen alles darin – Banking, Arbeit, Kommunikation. Das macht ihn zum Hauptziel für Angreifer wie ShadyPanda.

Halten Sie Ihren Browser sauber und schlank. Ein zugemüllter Browser ist nicht nur langsam, er ist ein offenes Fenster für Spione.

Kostenloser Sicherheitscheck für Ihren Firmen-Browser

Überblick

Wichtige Entscheidungen, Risiken und Umsetzungsmaßnahmen zu diesem Thema.

Weiterführende Artikel

WhatsApp