Chrome-Erweiterung: Mögliche Backdoor in millionenfach installiertem Adblocker
Sicherheitsforscher des Unternehmens Island haben eine populäre Browsererweiterung aus dem Chrome Web Store untersucht und sind dabei auf eine mögliche Backdoor gestoßen, durch die der Anbieter unbemerkt Schadcode nachladen und Daten abgreifen kann. Das betroffene Add-on trägt den Namen Adblock for Youtube(öffnet im neuen Fenster) und erreicht mit mehr als zehn Millionen Installationen Platz 15 in der Liste der beliebtesten Chrome-Erweiterungen(öffnet im neuen Fenster).
Wie die Island-Forscher in einem Blogbeitrag(öffnet im neuen Fenster) schildern, erscheint Adblock for Youtube zunächst harmlos und tut auch genau das, was Anwender erwarten: Die Erweiterung blockiert zuverlässig Werbeanzeigen auf der Videoplattform Youtube. Bei einer Analyse des Quellcodes stellten die Forscher jedoch fest, dass das Add-on theoretisch noch weitaus mehr kann.
Adblock for Youtube fragt den Angaben zufolge Zugriffsberechtigungen für alle vom Nutzer besuchten URLs an. Folglich wird die Erweiterung nicht nur auf Youtube.com aktiv. Zwar existiert im Code ein Filter. Dieser Filter gibt die Ausführung des Adblockers aber immer dann frei, wenn die Domain youtube.com an einer beliebigen Stelle in der URL auftaucht – also auch dann, wenn sie nur als Parameter an eine beliebige andere Webadresse angehängt wurde.
Weitreichender Datenklau möglich
Hinzu kommt, dass Adblock for Youtube täglich neue Konfigurationsdaten abruft, ohne dass dies eines Updates der Extension oder einer Prüfung durch den Chrome Web Store bedarf. Die Forscher warnen, dass der Betreiber auf diesem Wege leicht Schadcode nachladen kann, der dann auf beliebigen Webseiten zur Ausführung gelangt, um etwa vertrauliche Daten abzugreifen.
Im Bericht beschreiben die Forscher das Angriffsszenario am Beispiel eines Datenklaus aus einer Salesforce-Session. Der Nutzer besucht dabei zunächst Youtube, woraufhin die Erweiterung aktiv wird und Schadcode nachlädt, welcher automatisch einen neuen Tab mit einer Salesforce-Seite und einem URL-Parameter öffnet, der die Domain youtube.com enthält.
Dadurch kann das Add-on auch auf die Salesforce-Seite zugreifen und vertrauliche Daten aus der Session des Nutzers an einen externen Server ausleiten. "Der gesamte Prozess erfordert lediglich eine serverseitige Konfigurationsänderung. Es ist kein Update der Erweiterung, keine erneute Überprüfung im Chrome Web Store und keine für den Nutzer sichtbare Änderung erforderlich", warnen die Forscher.
Weitere Auffälligkeiten um Adblock for Youtube
Nach Angaben der Sicherheitsforscher gibt es zwar bisher keine Hinweise darauf, dass tatsächlich solche Attacken stattfanden, doch ein näherer Blick auf den Anbieter und die Infrastruktur hinter Adblock for Youtube sollte zumindest zur Vorsicht ermuntern. Denn Island hat Verbindungen zu anderen Browser-Add-ons wie Adblock for Chrome oder Adblock for You entdeckt, welche schon früher als Malware eingestuft und aus dem Chrome Web Store entfernt(öffnet im neuen Fenster) wurden.
Zudem übernahm der aktuelle Anbieter das erstmals 2014 veröffentlichte Adblock for Youtube wohl erst 2018 und überarbeitete es seitdem mehrfach. All diese Faktoren zusammen stimmen die Forscher skeptisch. "Die Erweiterung, der die Nutzer heute vertrauen, ist nicht mehr derselbe kleine Werbeblocker, der ursprünglich in den Store aufgenommen wurde", warnen die Island-Forscher. Anwender sollten also sicherheitshalber besser auf einen anderen Werbeblocker ausweichen.
Nachtrag vom 26. Juni 2026, 14:50 Uhr
Der Anbieter von Adblock for Youtube betonte in einer Stellungnahme gegenüber Golem, es habe nie eine bösartige Nutzung der von den Island-Forschern entdeckten Funktion gegeben und eine solche werde es auch nie geben. Überdies seien einige Codebestandteile, auf die sich die Forscher beziehen, Teil einer quelloffenen Scriptlet-Bibliothek, die auch von anderen Adblockern verwendet werde.
"Wir haben dieses Scriptlet zudem nie genutzt", erklärte der Anbieter weiter und versicherte, diesen ungenutzten Teil der Bibliothek nun vollständig entfernen zu wollen. Auch die Seitenerkennung werde optimiert, sodass nur noch youtube.com als Hostname akzeptiert werde, statt lediglich das Vorhandensein der Domain an einer beliebigen Stelle der URL zu prüfen. Ein entsprechendes Update soll noch heute fertiggestellt werden und Nutzern zur Verfügung stehen, sobald die anschließende Prüfung durch Google abgeschlossen ist.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.