30.000 Facebook-Konten gehackt – Chrome-Extension wird zur Falle
Browser-Erweiterung stiehlt Session-Cookies, AppSheet liefert die Phishing-Mails, Telegram empfängt die Beute.
Auf einen Blick
Eine vermeintlich harmlose Browser-Erweiterung entpuppt sich als großflächige Account-Takeover-Maschine: Über 30.000 Facebook-Konten wurden über eine bösartige Chrome-Extension kompromittiert. Die Angreifer verschickten Phishing-Mails über die offizielle Google-AppSheet-Infrastruktur, leiteten Opfer auf Netlify-gehostete Fake-Seiten weiter und exfiltrierten gestohlene Cookies und Credentials per Telegram-Bot. Kein Passwort, kein klassischer Login – Session-Hijacking pur.
Die Köder-Mail: Gefälschte Meta-DMCA-Warnung
Die Kampagne startet mit einer professionell gestalteten E-Mail im Look von Meta Support. Inhalt: Eine angebliche DMCA-Beschwerde wegen Urheberrechtsverletzungen. Das Konto soll innerhalb von 24 Stunden permanent gesperrt werden. Ein prominenter „Submit an Appeal"-Button führt zur Phishing-Seite – gehostet auf einer unscheinbaren Netlify-Subdomain.
Visualisierung: Phishing-Mail im Meta-Look (links) → Netlify-gehostete Fake-Seite (rechts)
⚠️ Kritisch: Die Phishing-Domains sind oft nur Stunden alt – Reputations-Filter greifen zu spät. Beispieldomain aus der Kampagne: magical-malabi-ec587a.netlify.app
Versand über Google AppSheet – DMARC umgangen
Der eigentliche Trick liegt im Versandweg: Die E-Mails kommen von [email protected] – einer offiziellen Google-Workspace-Adresse. AppSheet erlaubt es jedem Nutzer, einen Custom Sender Name wie „Meta Support" zu setzen. Da die Mail technisch korrekt von Google-Servern kommt, passieren SPF, DKIM und DMARC ohne Beanstandung.
Versandweg: Custom Sender „Meta Support" über offiziellen Google-AppSheet-Service
Was Spamfilter sehen
Legitime Google-Infrastruktur, gültige Signaturen, hohe Sender-Reputation.
Was der Empfänger sieht
„Meta Support" mit Verified-Badge, Inbox statt Spam-Ordner, hohes Vertrauen.
Datenabfluss: Telegram-Bot als C2-Kanal
Sobald ein Opfer Anmeldedaten auf der Fake-Seite eingibt, wandern Username, Passwort, IP und User-Agent direkt an einen Telegram-Bot. Beobachtet wurden zwei Evolutionsstufen der Exfiltration:
V1: Direkter Telegram-Call im Client-Bundle. V2: Netlify-Function als Proxy versteckt die Bot-Credentials.
Direktaufruf der Telegram-API im Browser
Im JavaScript-Bundle steht ein direkter fetch("https://api.telegram.org/bot…/sendMessage"). Bot-Token und Chat-ID waren für jeden Analysten im Klartext sichtbar.
Netlify Serverless Function als Proxy
Die Angreifer reagierten auf öffentliche Reports und versteckten den Telegram-Bot hinter einer eigenen /.netlify/functions/send-Endpoint. Bot-Credentials liegen jetzt serverseitig – schwerer aufzuspüren, schwerer zu blockieren.
Was die Chrome-Extension wirklich tat
Die Extension wirkte legitim, mit positiven Bewertungen und funktionalem Mehrwert. Im Hintergrund führte sie aus:
Session-Cookies auslesen
Login ohne Passwort möglich – aktive Sessions werden direkt übernommen.
Credentials abgreifen
Mitschnitt von Login-Formularen via injiziertem JavaScript.
Aktive Facebook-Sitzungen kapern
Vollzugriff auf Profil, Business Manager und Werbekonto.
Automatisches Posten & Verbreiten
Verteilung der Malware über kompromittierte Konten an Freundesnetzwerk.
💣 Besonders perfide: Kein Passwort nötig, kein Login nötig, kein Alarm. Sobald die Extension installiert war, war der Account faktisch offen wie ein Scheunentor – auch mit aktivierter MFA.
Browser-Extensions: Das neue Einfallstor Nr. 1
Viele Unternehmen sichern Server, Firewalls und E-Mail-Gateways – und vergessen den Browser des Mitarbeiters. Genau dort findet 2026 der Großteil aller Angriffe statt.
Server
✅ Gesichert
Firewall
✅ Gesichert
Browser
❌ Blinder Fleck
Was wurde kompromittiert?
- Übernahme von Facebook Business Accounts und Manager-Rechten
- Missbrauch von Werbekonten – fremdes Geld für Scam-Kampagnen
- Verbreitung von Schadlinks an Kunden und Follower
- Aktive Nutzung von Unternehmensseiten für Malvertising
- Vertrauensmissbrauch gegenüber Kunden und Geschäftspartnern
Technischer Hintergrund
Die Malware nutzt typische Methoden moderner Browser-Angriffsketten:
chrome.cookies API
Direkter Zugriff auf alle Cookies inkl. HttpOnly-Session-Tokens.
JavaScript Injection
Code wird in laufende Facebook-Sessions eingeschleust.
C2-Kommunikation
Kontakt zu Command-and-Control via Telegram-Bot oder Netlify-Proxy.
Persistenz im Browser-Storage
Überlebt Neustarts, versteckt sich vor klassischer Erkennung.
❗ Wichtig: Klassische Antivirus-Lösungen greifen hier oft nicht – weil der Browser selbst die Aktion ausführt und nichts „verdächtig" auf der Festplatte landet.
Wasacon Einschätzung
Dieser Vorfall ist kein Einzelfall – sondern ein Trend:
„Der Angriffsvektor verschiebt sich vom Server zum User."
Wenn ein Mitarbeiter kompromittiert ist, bringt dir:
- der beste Server nichts
- die beste Firewall nichts
- das beste Backup nichts
Konkrete Maßnahmen für Unternehmen
Browser-Policies erzwingen
Nur geprüfte Extensions zulassen. Whitelisting statt Blacklisting. Über Group Policy oder MDM zentral gesteuert.
Session-Schutz implementieren
Zero-Trust-Ansatz mit Device Binding, Token Binding und Re-Auth bei sensiblen Aktionen.
EDR/XDR einsetzen
Verhaltensbasierte Erkennung statt Signatur-Antivirus. Browser-Aktivität wird beobachtet, nicht nur Files.
Awareness-Training (entscheidend!)
Mitarbeiter müssen verstehen: Installieren = potenzieller Zugriff auf Firmendaten. Inkl. Phishing-Simulationen.
💡 Wir empfehlen die Kombination aus EDR/XDR und IT-Sicherheit & Datenschutz.
Reality-Check für Geschäftsführer
Wenn du nicht weißt:
… dann hast du bereits ein Problem.
Teste jetzt deine Angriffsfläche
Welche Browser-Extensions laufen in deinem Unternehmen? Welche Daten fließen darüber ab? Wir prüfen es für dich – inklusive konkreter Empfehlungen.
Häufige Fragen
Mehr aus der Browser- & Phishing-Themenwelt
Verwandte Analysen zu manipulierten Extensions, Account-Takeover und modernen Phishing-Kampagnen.
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
