ShadyPanda & Co: Die Gefahr bösartiger Browser-Erweiterungen (2026)

CyberLord Threat Intel

ShadyPanda & Co: Die Gefahr bösartiger Browser-Erweiterungen (2026)

Sie laden einen PDF-Konverter, einen Adblocker oder einen "Dark Mode" für Chrome herunter. Er funktioniert super.

Was Sie nicht wissen: Im Hintergrund liest diese Erweiterung Ihre E-Mails, stiehlt Ihre Facebook-Cookies und ersetzt Google-Suchergebnisse durch Betrugswerbung.

Dies ist kein theoretisches Szenario. Im Jahr 2025/2026 ist die Kampagne "ShadyPanda" eines der größten Botnetze, das ausschließlich auf Browser-Erweiterungen basiert. Millionen Nutzer sind infiziert, ohne es zu ahnen.

In diesem Artikel analysieren wir, wie diese Malware funktioniert, warum Virenscanner sie oft übersehen und wie Sie Ihren Browser wieder sauber bekommen.

Anatomie eines Angriffs: Der "ShadyPanda" Modus

Die Gruppe hinter ShadyPanda ist schlau. Sie programmieren keine .exe Viren, die Windows Defender sofort blockiert. Sie nutzen JavaScript, das direkt im Browser läuft.

Schritt 1: Die Infektion (Malvertising)

Der Nutzer sucht nach "PDF kostenlos zusammenfügen" oder "Video Downloader". Er landet auf einer seriös aussehenden Seite, die sagt: "Installieren Sie unsere Chrome-Extension, um fortzufahren." Da der Chrome Web Store als vertrauenswürdig gilt, klickt der Nutzer auf "Hinzufügen".

Schritt 2: Der "Schläfer" (Dormancy)

Die ersten 3 Tage macht die Erweiterung... nichts. Sie verhält sich wie ein normaler PDF-Konverter. Dies dient dazu, automatische Analysen von Google zu täuschen.

Schritt 3: Die Aktivierung

Am Tag 4 lädt die Erweiterung heimlich Code von einem Command-and-Control (C2) Server nach. Jetzt beginnt der Schaden:

  1. Search Hijacking: Wenn Sie auf Google nach "Schuhe kaufen" suchen, werden Sie unmerklich über Affiliate-Links umgeleitet. Die Hacker verdienen Provision.
  2. Cookie Stealing: Die Erweiterung kopiert Ihre Sitzungs-Cookies für Amazon, Facebook oder Binance und sendet sie an die Hacker. Diese können sich nun in Ihre Konten einloggen, ohne Ihr Passwort zu kennen (Session Hijacking).
  3. Ad Injection: Auf seriösen Nachrichtenseiten tauchen plötzlich Anzeigen für Glücksspiel oder Krypto-Betrug auf.

Warum Virenscanner oft versagen

Klassische Antiviren-Programme scannen Dateien auf der Festplatte. Browser-Erweiterungen leben aber in einer Art "Blase" (Sandbox) innerhalb des Browsers. Zudem verschleiern (obfuskieren) die Hacker den JavaScript-Code so stark, dass er für Scanner nur wie Datensalat aussieht.

Erkennung: Bin ich infiziert?

Achten Sie auf diese subtilen Warnzeichen:

  1. Die Suchmaschine ändert sich: Sie tippen in die Adresszeile, aber statt Google öffnet sich Bing, Yahoo oder eine seltsame Seite wie secure-search.net.
  2. "Verwaltet von Ihrer Organisation": Wenn Sie im Chrome-Menü ganz unten sehen: "Ihr Browser wird von Ihrer Organisation verwaltet", obwohl es Ihr privater PC ist. Das ist ein Zeichen, dass Malware Systemrichtlinien gesetzt hat, um die Deinstallation zu verhindern.
  3. Werbung an unmöglichen Orten: Pop-ups auf Wikipedia oder der Seite Ihrer Bank.
  4. Unbekannte Erweiterungen: Gehen Sie zu chrome://extensions. Sehen Sie dort Dinge wie "App", "V1.0" oder Icons, die wie Puzzleteile aussehen?

Bereinigung: So werden Sie ShadyPanda los

Einfach auf "Entfernen" klicken reicht bei moderner Malware oft nicht. Sie kommt beim Neustart wieder.

Phase 1: Der einfache Versuch

  1. Tippen Sie chrome://extensions in die Adresszeile.
  2. Aktivieren Sie oben rechts den Entwicklermodus.
  3. Klicken Sie bei der verdächtigen Erweiterung auf Entfernen.

Phase 2: Für hartnäckige Fälle ("Managed by Organization")

Wenn der Entfernen-Button ausgegraut ist, hat die Malware die Windows Registry manipuliert.

  1. Drücken Sie Windows + R, tippen Sie regedit ein.
  2. Navigieren Sie zu: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\ExtensionInstallForcelist
  3. Löschen Sie dort alle Einträge, die auf seltsame IDs verweisen.
  4. Löschen Sie auch den Ordner ...Chrome\ExtensionInstallSources falls vorhanden.
  5. Starten Sie den PC neu.

Phase 3: Browser-Reset

Oft ist es am sichersten, den Browser auf Werkseinstellungen zurückzusetzen.

  • Chrome: Einstellungen -> Einstellungen zurücksetzen.
  • Edge: Einstellungen -> Einstellungen zurücksetzen.
  • Achtung: Sichern Sie vorher Ihre Lesezeichen!

Prävention: Die "Least Privilege" Regel

Wie verhindern Sie das in Zukunft?

  1. Nur vertrauenswürdige Quellen: Installieren Sie nur Erweiterungen von bekannten Herstellern (z.B. Adobe, Evernote, LastPass). Meiden Sie Erweiterungen von "Entwickler123" mit wenigen Bewertungen.
  2. Berechtigungen prüfen: Warum braucht ein "Taschenrechner" Zugriff auf "Alle Daten auf allen Websites"? Das ist ein Warnsignal. Lehnen Sie ab.
  3. Weniger ist mehr: Jede Erweiterung ist ein potenzielles Sicherheitsrisiko. Deinstallieren Sie alles, was Sie nicht täglich brauchen.

Fazit

Der Browser ist das neue Betriebssystem. Wir erledigen alles darin – Banking, Arbeit, Kommunikation. Das macht ihn zum Hauptziel für Angreifer wie ShadyPanda.

Halten Sie Ihren Browser sauber und schlank. Ein zugemüllter Browser ist nicht nur langsam, er ist ein offenes Fenster für Spione.

Kostenloser Sicherheitscheck für Ihren Firmen-Browser

Überblick

Wichtige Entscheidungen, Risiken und Umsetzungsmaßnahmen zu diesem Thema.

Weiterführende Artikel

WhatsApp