{"id":141439,"date":"2025-08-24T11:11:56","date_gmt":"2025-08-24T09:11:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ataka-na-brauzernye-dopolneniya-s-menedzherami-parolej-ispolzuyushhaya-klikdzheking"},"modified":"2026-01-24T17:56:45","modified_gmt":"2026-01-24T15:56:45","slug":"ataka-na-brauzernye-dopolneniya-s-menedzherami-parolej-ispolzuyushhaya-klikdzheking","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/ataka-na-brauzernye-dopolneniya-s-menedzherami-parolej-ispolzuyushhaya-klikdzheking","title":{"rendered":"Angriff auf Browser-Erweiterungen mit Passwortmanagern, der Clickjacking nutzt.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Auf der Konferenz DEF CON 33 wurde eine Angriffsmethode auf Browsererweiterungen vorgestellt, die ihre Benutzeroberfl\u00e4chenelemente in die angezeigte Seite einf\u00fcgen. Die Anwendung dieser Attacke auf Erweiterungen mit Passwortmanagern kann zu einem Leck gespeicherter Informationen f\u00fchren, wie z.B. Authentifizierungsparameter, Kreditkarteninformationen, pers\u00f6nliche Daten und Einmalpassw\u00f6rter f\u00fcr die Zwei-Faktor-Authentifizierung. Das Problem betrifft alle getesteten Passwortmanager, einschlie\u00dflich 1Password, Bitwarden, LastPass, KeePassXC-Browser, NordPass, ProtonPass und Keeper. <\/p>\n
Die Angriffsmethode basiert darauf, dass Browsererweiterungen einen Dialogfeld zur Passwortautoausf\u00fcllung direkt auf die angezeigte Seite einf\u00fcgen und ihre Elemente in das DOM (Document Object Model) dieser Seite integrieren. Wenn der Angreifer in der Lage ist, seinen JavaScript-Code auf der Seite auszuf\u00fchren, z.B. indem er eine XSS-Sicherheitsl\u00fccke auf der Website ausnutzt, kann er alle Elemente im DOM manipulieren, einschlie\u00dflich der eingef\u00fcgten Browsererweiterungen. <\/p>\n
Unter anderem ist es m\u00f6glich, den Best\u00e4tigungsdialog transparent zu machen und die Schaltfl\u00e4che in diesem Dialog mit der Schaltfl\u00e4che des gef\u00e4lschten Dialogs des Angreifers r\u00e4umlich zu kombinieren, um den Benutzer zum Klicken zu bewegen. Solche gef\u00e4lschten Dialoge k\u00f6nnen aus m\u00f6glichen Anfragen zur Cookie-Berechtigung, Werbebannern oder Formularen mit Captchas bestehen. Wenn man den gef\u00e4lschten Dialog unter dem transparenten Dialog des Passwortmanagers anordnet und die Position der Schaltfl\u00e4chen auf dem Bildschirm kombiniert, kann es dazu kommen, dass der Klick des Benutzers auf die Schaltfl\u00e4che zur Best\u00e4tigung der Authentifizierungsparameter im Dialog des Passwortmanagers erfolgt, w\u00e4hrend der Benutzer denkt, er habe beispielsweise auf die Schaltfl\u00e4che zum Schlie\u00dfen des Werbefensters geklickt.
<\/center> <\/p>\n
Der Angriff besteht aus den folgenden Schritten: <\/p>\n
\n
Einen aufdringlichen Element auf der Seite erstellen, das zum Klicken anregt.\n
Einf\u00fcgen eines Webformulars f\u00fcr Anmeldungen oder zur Eingabe pers\u00f6nlicher Daten auf der Seite.\n
Festlegung der Transparenz f\u00fcr das Webformular («opacity: 0.001» in CSS).\n
Verwendung der Methode focus(), um den Fokus auf ein Eingabefeld im Formular zu setzen, was den Autoausf\u00fclldialog des Passwortmanagers aktiviert.\n
Den aufgetauchten Dialog des Passwortmanagers im DOM suchen und die Transparenz daf\u00fcr setzen.\n
Warten auf den Klick des Benutzers auf ein sichtbares aufdringliches Element auf der Seite, welches durch passende Kombination von sichtbaren und unsichtbaren Elementen dazu f\u00fchren wird, dass auf die Schaltfl\u00e4che im transparenten Dialog geklickt wird und die Felder vom Passwortmanager ausgef\u00fcllt werden.\n
Daten aus dem ausgef\u00fcllten Webformular extrahieren und sie an den Server des Angreifers senden. <\/ul>\n
Da das Autoausf\u00fcllen der Authentifizierungsparameter im Passwortmanager nur f\u00fcr Websites aktiviert wird, auf denen diese Parameter gespeichert wurden, muss der Angreifer in der Lage sein, seinen JavaScript-Code auf der angegriffenen Website oder einem Subdomain auszuf\u00fchren. Daher ist es notwendig, entweder ein Subdomain innerhalb derselben Domain wie die angegriffene Website zu erhalten oder eine XSS-Sicherheitsl\u00fccke zu finden, die es erm\u00f6glicht, den eigenen Code in den an den Benutzer ausgegebenen Inhalt einzuf\u00fcgen. <\/p>\n
Es wird festgestellt, dass viele Benutzer denselben Passwortmanager sowohl f\u00fcr die Speicherung von Anmeldedaten als auch f\u00fcr die Generierung von Einmalpassw\u00f6rtern f\u00fcr die Zwei-Faktor-Authentifizierung verwenden, was die herein diskutierte Angriffsmethode bei der Autoausf\u00fcllung von Einmalpassw\u00f6rtern anwendbar macht. Ein Beispiel demonstriert einen Angriff auf die Website issuetracker.google.com, die \u00fcber eine XSS-Sicherheitsl\u00fccke verf\u00fcgt. Um Zugang zu den Anmeldeinformationen und dem Code f\u00fcr die Zwei-Faktor-Authentifizierung zu erhalten, reicht es aus, dem Benutzer einen Link zu senden, der diese XSS-Sicherheitsl\u00fccke ausnutzt, und drei Klicks \u00fcber die Einf\u00fcgung gef\u00e4lschter aufdringlicher Anfragen zu erreichen (Genehmigung zur Verarbeitung von Cookies, Genehmigung zur Personalisierung und Zustimmung zur Datenschutzrichtlinie).
![\"Angriff](\"\/wp-content\/uploads\/2025\/08\/9df2f88789928b98278bb49ac8522c38.png\")
<\/center> <\/p>\n