Phantom Shuttle: Acht Jahre unentdeckter Spionage-Code in Chrome-Erweiterungen

Eine acht Jahre aktive Schadsoftware imitierte einen VPN-Dienst und spähte gezielt Entwicklerdaten aus. Der Angriff unterstreicht die Gefahr durch manipulierte Browser-Erweiterungen.

Eine hochsophistische Cyber-Spionagekampagne, die sich acht Jahre lang als seriöser VPN-Dienst tarnte, wurde aufgedeckt. Die als Netzwerktools getarnten Chrome-Erweiterungen „Phantom Shuttle“ erwiesen sich als gefährliche Schadsoftware, die sensible Daten von Entwicklern und Unternehmen abgriff.

Das perfekte Versteck: Schadcode im Mantel des Nutzens

Sicherheitsforscher des Unternehmens Socket enthüllten kürzlich die Existenz zweier bösartiger Erweiterungen namens „Phantom Shuttle“. Fast ein Jahrzehnt lang gaben sie sich als legale Proxy- und Netzwerktestdienste aus und zielten gezielt auf Nutzer in China sowie auf Fachkräfte im internationalen Handel ab.

Die Täuschung war nahezu perfekt. Die Erweiterungen boten ein gestaffeltes Abomodell an, bezahlt wurde über die in China üblichen Dienste Alipay und WeChat Pay. Für umgerechnet etwa 1,40 bis 13,50 Euro monatlich erhielten Nutzer vermeintlich ein Premium-VPN, um Netzwerkbeschränkungen zu umgehen. Doch der wahre Zweck war ein anderer: Sobald installiert, agierten die Erweiterungen als Man-in-the-Middle-Proxy. Sie gaben den Angreifern vollständige Einsicht in den gesamten Webverkehr der Opfer. Die beworbenen Latenztests fanden zwar statt – doch nur als Tarnung für den eigentlichen Datendiebstahl.

Anzeige

Viele Unternehmen sind für langfristige, heimliche Erweiterungs‑Angriffe wie Phantom Shuttle nicht ausreichend gewappnet. Studien zeigen, dass gerade Mittelständler oft Sicherheitslücken in Browser‑Extensions, Cloud‑Zugängen und API‑Tokens übersehen. Dieser kostenlose E‑Book‑Leitfaden erklärt praxisnahe Präventionsmaßnahmen, Sofort‑Checks für API‑Schlüssel, wie Sie Erweiterungen zentral kontrollieren und eine einfache Umsetzungs-Checkliste für IT‑Teams – alles ohne große Budgets. Jetzt kostenlosen Cyber‑Security‑Guide herunterladen

Nach der Veröffentlichung der Untersuchung entfernte Google die Erweiterungen aus dem Chrome Web Store. Doch der Schaden war bereits entstanden: Seit 2017 aktiv, hatten die Tools tausende Installationen und potenziell enorme Mengen sensibler Unternehmensdaten kompromittiert.

Technische Tiefe: Wie der Angriff funktionierte

Die technische Raffinesse von Phantom Shuttle unterschied es von simpler Adware. Die Forscher fanden heraus, dass die Malware ihren Schadcode in eine legitime JavaScript-Bibliothek (jquery-1.12.2.min.js) injizierte, die mit der Erweiterung ausgeliefert wurde.

Dieser manipulierte Code ermöglichte es, HTTP-Authentifizierungsabfragen im gesamten Web abzufangen. Der Datenverkehr wurde über Server der Angreifer geleitet. Besonders tückisch: Die Erweiterung arbeitete in einem speziellen „smarty“-Modus. Dieser leitete nur den Verkehr von einer vordefinierten Liste hochwertiger Domains um. Alles andere blieb unberührt, um keinen Verdacht zu erregen.

Alle fünf Minuten sendete die Malware ein „Lebenszeichen“ an ihre Kommandozentrale (phantomshuttle[.]space). Diese Datenpakete enthielten die E-Mail-Adresse des Opfers, das Passwort im Klartext und den Abo-Status. So behielten die Angreifer die Kontrolle über infizierte Systeme und konnten die Malware dynamisch aktualisieren.

Gezielter Angriff auf die Software-Lieferkette

Der alarmierendste Aspekt der Kampagne war ihre präzise Ausrichtung auf die Software-Lieferkette. Die Ziel-Liste im „smarty“-Modus umfasste über 170 hochwertige Domains, mit einem klaren Fokus auf Entwickler-Tools, Cloud-Infrastruktur und Unternehmensplattformen.

Zu den wichtigsten Zielen gehörten:
* Entwickler-Plattformen: GitHub, Stack Overflow, npm und Docker.
* Cloud-Infrastruktur: Amazon Web Services (AWS), Microsoft Azure, Google Cloud und DigitalOcean.
* Unternehmensdienste: Atlassian (Jira/Confluence), Slack und verschiedene E-Mail-Anbieter.

Durch die Kompromittierung dieser Dienste konnten die Angreifer API-Schlüssel, Session-Tokens und Zugangsdaten zu Code-Repositories erbeuten. Theoretisch hätten sie so bösartigen Code in proprietäre Softwareprojekte einschleusen oder unerlaubt in Unternehmens-Clouds eindringen können – ein klassischer Supply-Chain-Angriff.

Der Fokus auf Entwickler-Domains legt nahe, dass es den Operatoren nicht um finanzielle Daten ging. Vielmehr betrieben sie wahrscheinlich Industriespionage oder bereiteten Folgeangriffe auf die Arbeitgeber der kompromittierten Nutzer vor.

Analyse: Die Achillesferse Browser-Erweiterung

Die Aufdeckung von Phantom Shuttle beleuchtet einen kritischen blinden Fleck in der Unternehmenssicherheit: die Browser-Erweiterung. Während Firmen massiv in Endpoint-Schutz und Firewalls investieren, umgehen Erweiterungen mit ihren weitreichenden Berechtigungen oft genau diese Kontrollen.

Die Langlebigkeit der Operation – acht Jahre im Chrome Web Store unentdeckt – wirft ernste Fragen nach den Prüfverfahren für Browser-Add-ons auf. Im Gegensatz zu kurzfristigen „Smash-and-Grab“-Angriffen setzte diese Kampagne auf Tarnung und Langzeit-Ausspähung.

Der Fall Phantom Shuttle reiht sich in eine Serie ähnlicher Vorfälle ein. Erst diese Woche wurden Sicherheitslücken in der „Trust Wallet“-Erweiterung und Datenerfassung durch „Urban VPN“ bekannt. Besonders bemerkenswert ist hier die Taktik, mit einem Bezahlmodell Vertrauen aufzubauen und die Wachsamkeit der Nutzer zu senken.

Ausblick: Strengere Regeln für Browser-Add-ons

Als Konsequenz aus diesen Erkenntnissen erwarten Experten eine Verschärfung der Richtlinien für Browser-Erweiterungen in Unternehmen. IT-Abteilungen werden wahrscheinlich von einer „Blocklist“- zu einer strikten „Allowlist“-Politik übergehen. Nur noch vorab genehmigte Erweiterungen sind dann erlaubt.

Für Google und andere Browser-Hersteller wächst der Druck, rigorosere Code-Überprüfungen einzuführen – besonders für Erweiterungen, die weitreichende Berechtigungen zum Auslesen und Modifizieren des Webverkehrs anfordern. Denkbar sind granularere Berechtigungskontrollen oder verbesserte automatische Scans, um Manipulationen wie bei Phantom Shuttle zu erkennen.

Unternehmen wird geraten, ihre Systeme auf die Phantom-Shuttle-Erweiterung zu überprüfen und alle Zugangsdaten oder API-Schlüssel zu widerrufen, die auf betroffenen Geräten genutzt wurden. Mit dem nahenden Jahr 2026 wird der Kampf um die Sicherheit im Browser zu einer zentralen Front der Cybersicherheit.

Anzeige

PS: Prüfen Sie jetzt unbedingt Browser‑Extensions, eingeloggte Sessions und API‑Tokens: Ein praxisorientierter Guide zeigt, wie Sie kompromittierte Zugangsdaten widerrufen, Berechtigungen einschränken und Mitarbeiter in wenigen Schritten sensibilisieren. Enthalten sind sofort einsetzbare Notfall‑Checks, Vorlagen für Incident‑Response und eine Prioritätenliste für IT‑Verantwortliche, damit Sie schnell erste Schutzmaßnahmen umsetzen können. Jetzt Cyber‑Security‑Checkliste herunterladen