{"id":141439,"date":"2025-08-24T11:11:56","date_gmt":"2025-08-24T09:11:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ataka-na-brauzernye-dopolneniya-s-menedzherami-parolej-ispolzuyushhaya-klikdzheking"},"modified":"2026-01-24T17:56:45","modified_gmt":"2026-01-24T15:56:45","slug":"ataka-na-brauzernye-dopolneniya-s-menedzherami-parolej-ispolzuyushhaya-klikdzheking","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/ataka-na-brauzernye-dopolneniya-s-menedzherami-parolej-ispolzuyushhaya-klikdzheking","title":{"rendered":"Angriff auf Browsererweiterungen mit Passwortmanagern, der Clickjacking nutzt.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Auf der Konferenz DEF CON 33 wurde eine Angriffsmethode auf Browsererweiterungen vorgestellt, die ihre Benutzeroberfl\u00e4chenelemente in die angezeigte Seite einf\u00fcgen. Das Anwenden des Angriffs auf Erweiterungen mit Passwortmanagern kann zu einer Offenlegung von Informationen f\u00fchren, die in den Passwortmanagern gespeichert sind, wie z.B. Authentifizierungsparameter, Kreditkartendaten, pers\u00f6nliche Informationen und einmalige Passw\u00f6rter f\u00fcr die Zwei-Faktor-Authentifizierung. Das Problem betrifft alle getesteten Passwortmanager, einschlie\u00dflich 1Password, Bitwarden, LastPass, KeePassXC-Browser, NordPass, ProtonPass und Keeper. <\/p>\n
Die Angriffsmethode basiert darauf, dass Browsererweiterungen direkt einen Dialog zur Aufforderung zur automatischen Passwortausf\u00fcllung auf die angezeigte Seite einf\u00fcgen und ihre Elemente in das DOM (Document Object Model) dieser Seite integrieren. Wenn der Angreifer den Zugriff auf seinen JavaScript-Code auf der Seite hat, z.B. durch Ausnutzen einer XSS-Sicherheitsl\u00fccke auf der Website, kann er alle Elemente im DOM manipulieren, einschlie\u00dflich der durch die Browsererweiterungen eingef\u00fcgten. <\/p>\n
Unter anderem besteht die M\u00f6glichkeit, den Best\u00e4tigungsdialog transparent zu machen und die Schaltfl\u00e4che in diesem Dialog mit der Schaltfl\u00e4che des gef\u00e4lschten Dialogs, der von dem Angreifer erstellt wurde und den Benutzer zum Klicken anregt, r\u00e4umlich zu kombinieren. Solche gef\u00e4lschten Dialoge k\u00f6nnen gef\u00e4lschte Berechtigungsanfragen zur Verarbeitung von Cookies, Werbebanner oder Formulare mit Captchas sein. Indem man den gef\u00e4lschten Dialog hinter dem transparenten Dialog des Passwortmanagers platziert und die Position der Schaltfl\u00e4chen auf dem Bildschirm anpasst, kann erreicht werden, dass der Klick des Benutzers auf die Schaltfl\u00e4che zur Best\u00e4tigung der Authentifizierungsparameter im Dialog des Passwortmanagers gerichtet wird, obwohl der Benutzer glaubt, er h\u00e4tte beispielsweise auf die Schaltfl\u00e4che zum Schlie\u00dfen des Werbefensters geklickt.
<\/center> <\/p>\n
Der Angriff l\u00e4sst sich in folgende Schritte unterteilen: <\/p>\n
\n
Ein aufdringliches Element auf der Seite erstellen, das den Klick anregt.\n
Ein Web-Formular zum Einloggen oder Ausf\u00fcllen pers\u00f6nlicher Daten auf die Seite hinzuf\u00fcgen.\n
Einstellung der Transparenz f\u00fcr Webformulare («opacity: 0.001» in CSS).\n
Die Methode focus() verwenden, um den Eingabefokus auf ein Feld im Formular zu setzen, was den Dialog zur automatischen Ausf\u00fcllung des Passwortmanagers aktiviert.\n
Den pl\u00f6tzlich auftauchenden Dialog des Passwortmanagers im DOM finden und die Transparenz daf\u00fcr festlegen.\n
Warten auf den Klick eines Benutzers auf einem sichtbaren aufdringlichen Element auf der Seite, das bei entsprechender Kombination von sichtbaren und unsichtbaren Elementen zu einem Klick auf die Schaltfl\u00e4che in einem transparenten Dialogfeld und zum Ausf\u00fcllen der Felder durch den Passwortmanager f\u00fchrt.\n
Extraktion von Daten aus dem ausgef\u00fcllten Webformular und \u00dcbertragung dieser Daten an den Server des Angreifers. <\/ul>\n
Da die automatische Vervollst\u00e4ndigung der Authentifizierungsparameter im Passwortmanager nur f\u00fcr Websites aktiviert wird, auf denen diese Parameter gespeichert wurden, ist es notwendig, JavaScript-Code auf der angegriffenen Website oder in einem Subdomain auszuf\u00fchren, um den Angriff zu organisieren. Daher muss man entweder ein Subdomain im gleichen Domain wie die angegriffene Website erhalten oder eine XSS-Sicherheitsanf\u00e4lligkeit auf der Website finden, die es erm\u00f6glicht, eigenen Code in die dem Benutzer angezeigten Inhalte einzuf\u00fcgen. <\/p>\n
Es wird festgestellt, dass viele Benutzer einen Passwortmanager sowohl zum Speichern von Anmeldedaten als auch zur Generierung von Einmalpassw\u00f6rtern f\u00fcr die Zwei-Faktor-Authentifizierung verwenden, was es erm\u00f6glicht, die betrachtete Angriffsmethode bei der automatischen Vervollst\u00e4ndigung von Einmalpassw\u00f6rtern anzuwenden. Als Beispiel wurde ein Angriff auf die Website issuetracker.google.com demonstriert, die eine XSS-Sicherheitsanf\u00e4lligkeit enth\u00e4lt. Um die Anmeldedaten und den Code f\u00fcr die Zwei-Faktor-Authentifizierung zu erhalten, reicht es aus, dem Benutzer einen Link zu senden, der die XSS-Sicherheitsanf\u00e4lligkeit ausnutzt, und drei Klicks durch das Ersetzen von fiktiven aufdringlichen Anfragen zu erreichen (Zustimmung zur Verarbeitung von Cookies, Zustimmung zur Personalisierung und Zustimmung zur Datenschutzrichtlinie).
![\"Angriff](\"\/wp-content\/uploads\/2025\/08\/9df2f88789928b98278bb49ac8522c38.png\")
<\/center> <\/p>\n