HI-MA-2026-001 Hoog Gepubliceerd Malware
Verborgen spyware en adware in de browserextensie ModHeader
ModHeader, een developertool met meer dan 800.000 gebruikers op Chrome, bevatte in versie 7.0.18 een verborgen spyware-SDK. De code verzamelt de domeinen die je bezoekt, versleutelt ze en stuurt ze eens per dag naar api.stanfordstudies.com. In deze build stond de verzamelaar nog uit, maar endpoint, sleutel en planning waren aanwezig. Daarnaast opende de extensie bij elke update een advertentietab, ook op beheerde bedrijfslaptops. Google en Microsoft hebben de extensie uit hun stores gehaald.
Wat het doet
- Verzamelt de hostnamen van elke bezochte pagina, met hoe vaak je ze bezoekt
- Versleutelt die lijst en stuurt hem eens per dag naar api.stanfordstudies.com, op een tijdstip dat per installatie verschilt
- Verstopt de hulpfuncties in een bestand dat zich voordoet als de datumbibliotheek dayjs
- Stond in deze build nog uit: een lege lijst van browsers hield de verzamelaar tegen, een update kon hem aanzetten
- Opent bij elke update een advertentietab, ook op beheerde bedrijfslaptops
- Bewaart lokaal de volledige request- en responseheaders van al je verkeer, inclusief tokens en sessiecookies
- Raakt de officiële listing op Chrome (meer dan 800.000 gebruikers) en Edge, Firefox niet
Wat te doen
Controleer of je browser de extensie heeft uitgeschakeld. Chrome en Edge doen dat meestal zelf. Verwijder de achtergebleven mappen van de extensie: Extensions, IndexedDB, Local, Sync en Managed Extension Settings met het extensie-ID. Blokkeer en log DNS-verkeer naar api.stanfordstudies.com. Trek tokens en sessies in die in de opgeslagen headers kunnen staan. Installeer een headertool alleen uit een bron die je vertrouwt.
Kenmerken
Om in je eigen omgeving op te zoeken of te blokkeren.
| Extensie-ID | idgpnmonknjnojddfkpgkljpfnnfcklj (Chrome) |
|---|---|
| Extensie-ID | opgbiafapkbbnbnjcdomjaghbckfkglc (Edge) |
| Versies | 7.0.18 |
| Domein | api.stanfordstudies[.]com |
| URL | hxxps://api.stanfordstudies[.]com/app/log |
| Domein | www.extensions-hub[.]com |
| IP-adres | 3.147.61[.]167 |
| Bestand | assets/src/background-94ad634d.js |
| Bestand | assets/dayjs.min-6a736ee8.js |
Tijdlijn
- Versie 7.0.18 verschijnt in de Chrome Web Store
- Microsoft haalt de extensie uit Edge Add-ons 2 dagen
- Technische analyse gepubliceerd 11 dagen
Referenties
Over deze melding
HackIndex doet pentests en code review, en onderzoekt open-source packages, plugins en extensies. Een kwetsbaarheid gaat eerst naar de maker, malware direct naar het platform dat hem verspreidt.
Vragen over deze melding of een correctie? Mail naar info [at] hackindex [dot] nl met HI‑MA‑2026‑001 in het onderwerp.
Je mag deze melding overnemen onder CC BY 4.0 (opent in een nieuw tabblad), met de referentie en deze URL als bron.
Waarom HackIndex onderzoek doet Termijnen en afspraken Over HackIndex
Zelf laten controleren
Kwaadaardige extensies komen vaak via één developer binnen. Een code review laat zien wat je app en tooling laden en versturen.