Eine als Möglichkeit zum Ausblenden gesponserter Anzeigen auf Amazon beworbene Chrome-Browser-Erweiterung wurde dabei ertappt, wie sie im Hintergrund unbemerkt Affiliate-Links kapert und Provisionen ohne Wissen der Nutzer an ihren Entwickler umleitet.
Forscher von Socket stellten fest, dass die Erweiterung Amazon Ads Blocker vorhandene Affiliate-Tags von Content-Erstellern bei jedem Amazon-Produktlink durch ihre eigene Kennung ersetzt.
Die Erweiterung „… fügt automatisch das Affiliate-Tag des Entwicklers (10xprofit-20) in jeden Amazon-Produktlink ein und ersetzt vorhandene Affiliate-Codes von Content-Erstellern“, sagten die Forscher in ihrer Analyse.
Das Affiliate-Kapern im Detail
Dieser Fall zeigt, wie Browser-Erweiterungen ihren privilegierten Zugriff auf Webinhalte unbemerkt missbrauchen können, während sie sich als legitime Produktivitätstools präsentieren.
Obwohl Amazon Ads Blocker scheinbar wie beworben funktioniert, offenbart sein verborgenes Verhalten ein gezieltes Monetarisierungsschema, das sich der Sichtbarkeit und Kontrolle der Nutzer entzieht.
Die Untersuchung von Socket bestätigte, dass Amazon Ads Blocker kein Einzelfall ist, sondern Teil eines koordinierten Netzwerks aus mindestens 29 Erweiterungen, die sich gegen große E-Commerce-Plattformen richten, darunter Amazon, AliExpress, Best Buy, Shopify und Shein.
Die gemeinsame Infrastruktur, einheitliche Affiliate-Kennungen und wiederholten Richtlinienverstöße bei mehreren Erweiterungen deuten stark auf vorsätzliches Affiliate-Kapern und nicht auf einen einmaligen Fehler bei der Einhaltung von Vorschriften hin.
Aus technischer Sicht arbeitet die Erweiterung auf zwei klar voneinander getrennten Ebenen.
Die erste ist ihre sichtbare Funktionalität: ein grundlegender Werbeblocker, der CSS-Selektoren verwendet, um gesponserte Produktangebote auf Amazon-Seiten zu erkennen und auszublenden.
Durch die Erkennung bekannter werbebezogener Elemente entfernt die Erweiterung erfolgreich gesponserte Inhalte und verstärkt so den Eindruck, sie diene ausschließlich der Verbesserung des Einkaufserlebnisses.
Die zweite Ebene läuft still im Hintergrund. Beim Laden einer Seite durchsucht ein Content-Skript alle Amazon-Produktlinks, die gängigen URL-Mustern wie /dp/ oder /gp/product/ entsprechen.
Ist bereits ein Affiliate-Tag vorhanden, ersetzt das Skript es durch das Tag des Entwicklers, 10xprofit-20. Ist kein Tag vorhanden, fügt das Skript automatisch eines hinzu.
Um die dauerhafte Anwendung sicherzustellen, überwacht ein MutationObserver die Seite kontinuierlich auf Änderungen und wendet das Affiliate-Tag erneut an, sobald durch unendliches Scrollen oder dynamische Seitenaktualisierungen neue Produkte geladen werden.
Dieses Verhalten ist für Nutzer vollständig undurchsichtig. Die Oberfläche der Erweiterung bietet ausschließlich Einstellungen zur Anzeigenblockierung, aber keine Optionen, Hinweise oder Abfragen zur Änderung von Affiliate-Links.
Die Forscher bestätigten, dass die Injektion beim Laden der Seite automatisch erfolgt, keine Interaktion des Nutzers erfordert und nicht deaktiviert werden kann.
Diese fehlende Transparenz und Zustimmung stellt einen direkten Verstoß gegen die Richtlinien des Chrome Web Store dar, die das automatische Einfügen von Affiliate-Tags und das Ersetzen vorhandener Affiliate-Codes untersagen.
Das Risiko von Browser-Erweiterungen reduzieren
Browser-Erweiterungen bleiben sowohl für Nutzer als auch für Sicherheitsteams ein häufiger blinder Fleck und werden trotz ihres weitreichenden Zugriffs auf Webinhalte oft weniger streng geprüft als herkömmliche Software.
Wie diese Kampagne zeigt, können scheinbar harmlose Erweiterungen einen Monetarisierungsmissbrauch verbergen, der Nutzer, Content-Ersteller und Organisationen gleichermaßen betrifft.
Um dieses Risiko zu bewältigen, reicht eine einfache Entfernung nicht aus – erforderlich sind strengere Kontrollen, bessere Einblicke in das Verhalten von Erweiterungen und klare Reaktionsprozesse.
- Deinstallieren Sie die schädliche Erweiterung sofort und überprüfen Sie alle installierten Browser-Erweiterungen auf Abweichungen zwischen der beworbenen Funktionalität und dem tatsächlichen Verhalten.
- Setzen Sie eine Positivliste für Browser-Erweiterungen durch , um Installationen ausschließlich auf geprüfte und freigegebene Entwickler zu beschränken.
- Überwachen Sie Erweiterungen, die URLs ändern, Affiliate-Parameter einfügen oder Links ohne ausdrückliche Interaktion des Nutzers automatisch umschreiben.
- Überprüfen Sie die Berechtigungen und Aktualisierungsverläufe von Erweiterungen auf übermäßigen Zugriff auf Domains oder Änderungen, die zeitlich mit Aktualisierungen zur Durchsetzung von Richtlinien zusammenfallen.
- Informieren Sie Nutzer, Content-Ersteller und interne Teams über Muster beim Affiliate-Kapern, irreführende Hinweise und Erweiterungen mit doppeltem Zweck, die Monetarisierung verschleiern.
- Arbeiten Sie mit Affiliate-Netzwerken und Plattformanbietern zusammen , um nicht autorisierten Tag-Ersatz und die Umleitung von Provisionen zu melden.
- Testen Sie Notfallpläne für browserbasierte Missbrauchsszenarien, einschließlich der Untersuchung und Entfernung von Erweiterungen, der Beweissicherung und der Abläufe zur Meldung an Plattformen.
Zusammengenommen helfen diese Maßnahmen, die Auswirkungen des Missbrauchs von Erweiterungen einzudämmen, den Schadensradius bei auftretenden Problemen zu begrenzen und die langfristige Widerstandsfähigkeit gegen ähnliche Bedrohungen auf Browserebene zu stärken.
Browser-Erweiterungen als verborgene Angriffsfläche
Dieser Vorfall zeigt, wie Browser-Erweiterungen Risiken einführen können, wenn ihr Verhalten nicht genau untersucht wird – insbesondere wenn fragwürdige Aktivitäten durch legitime Funktionen verschleiert werden.
Dieses Risiko zu reduzieren bedeutet, Erweiterungen als verwaltete Software zu behandeln und sie mit konsistenten Prüfungs-, Überwachungs- und Reaktionsprozessen zu versehen, wie sie auch für Endgeräte und Cloud-Dienste eingesetzt werden.
Durch strengere Installationskontrollen, bessere Einblicke in das Verhalten von Erweiterungen und klar definierte Reaktionsabläufe können Organisationen die Auswirkungen von Missbrauch begrenzen und ihre Widerstandsfähigkeit gegen Monetarisierungstaktiken auf Browserebene stärken.
Dieselben Prinzipien stimmen eng mit Zero-Trust-Lösungenüberein, bei denen Zugriff und Verhalten kontinuierlich überprüft werden, anstatt standardmäßig als sicher vorausgesetzt zu werden.