Ga naar het artikel

ShadyPanda: Het Gevaar van Malafide Browser Extensies (2026)

CyberLord Threat Intel

ShadyPanda: Het Gevaar van Malafide Browser Extensies (2026)

We installeren ze gedachteloos. Een adblocker hier, een PDF-converter daar, een tooltje om YouTube-video's te downloaden. Extensies maken onze browser krachtiger.

Maar wat als die handige "PDF Converter" stiekem meeleest met alles wat u typt? Ook uw DigiD inloggegevens? Ook uw bankwachtwoorden?

Dit is geen theorie. Dit is de realiteit van de ShadyPanda campagne, een van de meest geavanceerde spyware-operaties die in 2025/2026 actief is.

De Vermomming: Hoe u geïnfecteerd raakt

Hackers weten dat u geen vreemde .exe bestanden meer downloadt. Dus verstoppen ze hun malware op de plek die u vertrouwt: de Chrome Web Store of Microsoft Edge Add-ons.

ShadyPanda extensies vermommen zich als nuttige tools:

  • "PDF Toolbox"
  • "Ultra AdBlock"
  • "Video Downloader Pro"
  • "Dark Mode Everywhere"

In het begin doen ze precies wat ze beloven. Ze converteren uw PDF. Ze blokkeren reclame. Dit zorgt voor goede reviews en vertrouwen.

De "Time Bomb": Van Tool naar Wapen

Na installatie gebeurt er... niets. Gedurende 3 tot 5 dagen gedraagt de extensie zich voorbeeldig. Dit is om de automatische security-scans van Google te omzeilen.

Maar dan downloadt de extensie op de achtergrond een update. De kwaadaardige code wordt geactiveerd.

Wat doet het dan?

  1. Search Hijacking: U zoekt iets op Google, maar wordt via een reeks onzichtbare omleidingen naar Bing of Yahoo gestuurd. De hackers verdienen geld aan deze affiliate traffic.
  2. Cookie Injectie: Als u winkelt op Bol.com of Amazon, injecteert de extensie zijn eigen affiliate-code, waardoor de hackers commissie krijgen over uw aankopen.
  3. Data Diefstal (Spyware): De gevaarlijkste functie. De extensie heeft vaak de permissie "Al uw gegevens op de websites die u bezoekt lezen en wijzigen". Dit betekent dat ze mee kunnen kijken in uw Gmail, uw bedrijfsportal en uw internetbankieren.

Symptomen: Is mijn browser besmet?

Browser-malware probeert onzichtbaar te blijven, maar laat sporen na.

  • Traagheid: Websites laden langzamer.
  • Vreemde Zoekresultaten: U krijgt andere resultaten dan normaal, of de lay-out van Google ziet er net iets anders uit.
  • "Managed by Organization": Als u in het menu van Chrome (de drie puntjes) kijkt, ziet u onderaan "Beheerd door uw organisatie". Als dit uw privé-laptop is, is dit het duidelijkste bewijs van malware. Het virus heeft zichzelf diep in Windows genesteld om verwijdering te voorkomen.
  • Niet te verwijderen: De "Verwijder"-knop bij de extensies is grijs of werkt niet.

Extensie-audit: uw browser in tien minuten

Ook zonder symptomen loont het om een keer per kwartaal de bovenste laag te controleren. Loop deze punten langs:

  1. Open chrome://extensions en zet rechtsboven de Ontwikkelaarsmodus aan. U ziet nu de unieke ID van elke extensie. Met die ID zoekt u de store-pagina op: bestaat die niet meer, of hoort die bij een ontwikkelaar zonder bereikbaar adres, dan is dat een duidelijk risicoteken.
  2. Open per extensie Details en bekijk Site-toegang. Voor de meeste tools volstaat "Bij klikken" of een lijst met specifieke sites. "Op alle websites" rechtvaardigt alleen software die echt overal werkt, zoals een wachtwoordmanager of uw antivirusbalkje.
  3. Typ chrome://policy in de adresbalk. Op apparaten die uw organisatie niet beheert, hoort hier een lege lijst te staan. Ziet u beleid dat u zelf nooit heeft ingesteld, doorloop dan het verwijderstappenplan hieronder.
  4. Kijk in Taakbeheer (tabblad Opstarten) en in de Taakplanner (taskschd.msc) naar items waarvan de naam of datum u niet bekend voorkomt. Een extensie die buiten de browser leeft, laat soms precies op de installatiedatum een geplande taak achter.

Bewijs verzamelen, dan pas opschonen

Een reset veegt veel weg, waaronder de sporen zelf. Wilt u later kunnen aantonen wat er is gebeurd, voor een verklaring aan een verzekeraar, het gesprek met uw leverancier of een formele melding? Leg dan eerst dit vast:

  • Een screenshot van chrome://extensions met zichtbare versienummers en laatst-bijgewerkt-datums.
  • Op chrome://policy de knop Beleid exporteren als JSON. Bevat het bestand domeinen die niet van uw organisatie zijn, dan is dat direct bewijs van misbruikte beleidsregels.
  • Eén reproduceerbare omleidingsketen: zoek een alledaagse term, land op de verkeerde pagina en kopieer de volledige URL. Ketens met parameters als subid, affid of tracker zijn het visitekaartje van affiliate-hijacking.
  • De extensie-ID en de installatiedatum, zodat u die in accountgeschiedenis of beheerlogs kunt terugvinden.

Stappenplan voor Verwijdering

Gewoon op het prullenbakje klikken werkt bij ShadyPanda helaas niet. U moet dieper graven.

Stap 1: Browser Resetten (De makkelijke weg)

Soms is het genoeg om de browser terug te zetten naar fabrieksinstellingen.

  • Chrome: Instellingen > Reset en opschonen > Instellingen terugzetten naar de oorspronkelijke standaardwaarden.
  • Edge: Instellingen > Instellingen opnieuw instellen.

Let op: Dit verwijdert uw extensies en cookies, maar uw wachtwoorden en favorieten blijven bewaard.

Stap 2: Register Opschonen (De moeilijke weg)

Als u de melding "Beheerd door uw organisatie" ziet, moet u het Windows Register in.

  1. Druk op Windows-toets + R, typ regedit en druk op Enter.
  2. Ga naar deze mappen (als ze bestaan) en verwijder ze volledig:
    • HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome
    • HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Edge
    • HKEY_CURRENT_USER\SOFTWARE\Policies\Google\Chrome
  3. Start uw computer opnieuw op.

Stap 3: Scan met Malwarebytes of HitmanPro

Omdat deze extensies vaak samenwerken met software op uw harde schijf, is een scan met een gespecialiseerde anti-malware tool (niet alleen uw standaard virusscanner) aan te raden.

Waarom verwijdering vaak halfwerk blijft

Verwijdert u de extensie en komt de melding "Beheerd door uw organisatie" toch terug? Dan speelt meestal één van deze drie mechanismen, die ShadyPanda-achtige opzetten actief misbruiken.

  • Synchronisatie zet de extensie terug. Chrome synchroniseert onder andere apps en extensies met uw account. Gaat één besmette laptop op de schop, dan kan een andere machine hem enkele minuten later opnieuw aanleveren. Zet daarom bij het opschonen eerst de synchronisatie van apps en extensies uit (Instellingen > U en Google), verwijder de extensie op álle apparaten waarop het profiel is ingelogd, en wijzig pas daarna uw accountwachtwoord, vanaf een schoon toestel.
  • Het profiel zelf blijft besmet. Een extensie kan wijzigingen vastleggen in de instellingen van het profiel, zoals de standaard zoekmachine of de pagina die opent bij een nieuw tabblad. Alleen het bestand verwijderen maakt die wijzigingen niet ongedaan; daarom staat het terugzetten van de browserinstellingen bovenaan het stappenplan, en niet als laatste redmiddel.
  • Nieuwe beleidsregels worden opnieuw weggeschreven. De registersleutels uit Stap 2 worden soms door een geplande taak of achtergronddienst opnieuw aangemaakt. Controleer na het opschonen opnieuw chrome://policy: blijft het beleid terugkomen, doorzoek de Taakplanner dan op taken die rond de installatiedatum zijn ontstaan.

Preventie: Vertrouw Niemand (ook Google niet)

Het feit dat iets in de officiële Store staat, betekent niet dat het veilig is. Google verwijdert duizenden slechte extensies per jaar, maar vaak pas nadat duizenden mensen ze hebben gedownload.

Onze Gouden Regels:

  1. Less is More: Heb je die extensie écht nodig? Verwijder alles wat u niet dagelijks gebruikt.
  2. Check de Permissies: Tijdens installatie verschijnt een pop-up. Lees die! Een "Color Picker" heeft geen toegang nodig tot uw browsegeschiedenis.
  3. Kijk naar de Auteur: "Adobe Inc." is te vertrouwen. "BestTools2025" niet.

Conclusie

Uw browser is de poort naar uw digitale leven. Het bevat uw wachtwoorden, uw sessies, uw identiteit. Behandel extensies niet als stickers die u op uw laptop plakt, maar als vreemdelingen die u in uw huis toelaat.

Gratis Security Check voor uw bedrijfsnetwerk?

Voor organisaties: beleid in plaats van vertrouwen

Adviezen als "lees de permissies" berusten op waakzaamheid per gebruiker. Dat is geen verdediging voor een kantoor met tientallen werkplekken. Wat wel draagt:

  1. Installeer een allowlist. Met het beleid ExtensionInstallAllowlist (uit te rollen via Group Policy, Intune of een vergelijkbaar MDM-systeem) staat u uitsluitend goedgekeurde extensies toe en blokkeert u de rest standaard. Robuuster dan een blokkeerlijst, omdat u niet hoeft in te grijpen zodra een nieuwe campagne opduikt.
  2. Snijd permissies af. Met het beleid ExtensionSettings weigert u per extensie-ID specifieke rechten, zoals leestoegang tot alle websites. Een extensie die bij een update plotseling gretiger wordt, kan dan nog maar weinig aanrichten.
  3. Onderhoud een register. De beheerconsole (in de Chrome Admin-console onder Apps en extensies) laat zien welke versies bij welke gebruikers draaien. Exporteer die lijst periodiek; het verschil tussen één besmet profiel opsporen en weken speurwerk zit in dat overzicht.
  4. Repeteer het verwijderscenario. Loop het stappenplan hierboven een keer bewust na op een testmachine, inclusief het opschonen van registersleutels en het uitzetten van synchronisatie. Bij een echt incident is die oefening goud waard.

Overzicht

Belangrijkste keuzes, risico's en uitvoeringsacties voor dit onderwerp.

Verder lezen

WhatsApp