# Verborgen spyware en adware in de browserextensie ModHeader

- **Referentie**: HI-MA-2026-001
- **Soort**: Malware
- **Ernst**: Hoog
- **Platform**: Chrome Web Store en Edge Add-ons
- **Extensie of package**: ModHeader - Modify HTTP headers
- **Getroffen versies**: 7.0.18
- **Onderzocht door**: [Joshua van der Poll](https://hackindex.nl/author/joshua-van-der-poll)

ModHeader, een developertool met meer dan 800.000 gebruikers op Chrome, bevatte in versie 7.0.18 een verborgen spyware-SDK. De code verzamelt de domeinen die je bezoekt, versleutelt ze en stuurt ze eens per dag naar api.stanfordstudies.com. In deze build stond de verzamelaar nog uit, maar endpoint, sleutel en planning waren aanwezig. Daarnaast opende de extensie bij elke update een advertentietab, ook op beheerde bedrijfslaptops. Google en Microsoft hebben de extensie uit hun stores gehaald.

## Wat het doet

- Verzamelt de hostnamen van elke bezochte pagina, met hoe vaak je ze bezoekt
- Versleutelt die lijst en stuurt hem eens per dag naar api.stanfordstudies.com, op een tijdstip dat per installatie verschilt
- Verstopt de hulpfuncties in een bestand dat zich voordoet als de datumbibliotheek dayjs
- Stond in deze build nog uit: een lege lijst van browsers hield de verzamelaar tegen, een update kon hem aanzetten
- Opent bij elke update een advertentietab, ook op beheerde bedrijfslaptops
- Bewaart lokaal de volledige request- en responseheaders van al je verkeer, inclusief tokens en sessiecookies
- Raakt de officiële listing op Chrome (meer dan 800.000 gebruikers) en Edge, Firefox niet

## Wat te doen

Controleer of je browser de extensie heeft uitgeschakeld. Chrome en Edge doen dat meestal zelf.
Verwijder de achtergebleven mappen van de extensie: Extensions, IndexedDB, Local, Sync en Managed Extension Settings met het extensie-ID.
Blokkeer en log DNS-verkeer naar api.stanfordstudies.com.
Trek tokens en sessies in die in de opgeslagen headers kunnen staan.
Installeer een headertool alleen uit een bron die je vertrouwt.

## Kenmerken

- Extensie-ID: `idgpnmonknjnojddfkpgkljpfnnfcklj (Chrome)`
- Extensie-ID: `opgbiafapkbbnbnjcdomjaghbckfkglc (Edge)`
- Versies: `7.0.18`
- Domein: `api.stanfordstudies[.]com`
- URL: `hxxps://api.stanfordstudies[.]com/app/log`
- Domein: `www.extensions-hub[.]com`
- IP-adres: `3.147.61[.]167`
- Bestand: `assets/src/background-94ad634d.js`
- Bestand: `assets/dayjs.min-6a736ee8.js`

## Tijdlijn

- 2026-07-01: Versie 7.0.18 verschijnt in de Chrome Web Store
- 2026-07-03: Microsoft haalt de extensie uit Edge Add-ons
- 2026-07-12: Technische analyse gepubliceerd

## Referenties

- [Technisch rapport: ModHeader Malware](https://hackindex.io/research/modheader-malware-chrome-spyware)
- [The Hacker News: Google en Microsoft halen ModHeader weg](https://thehackernews.com/2026/07/google-and-microsoft-pull-modheader.html)

## Over deze melding

HackIndex doet pentests en code review, en onderzoekt open-source packages, plugins en extensies. Een kwetsbaarheid gaat eerst naar de maker, malware direct naar het platform dat hem verspreidt.

Vragen over deze melding of een correctie? Mail naar het adres in security.txt, met HI-MA-2026-001 in het onderwerp.

Je mag deze melding overnemen onder [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/), met de referentie en deze URL als bron.

- [Waarom HackIndex onderzoek doet](https://hackindex.nl/research)
- [Termijnen en afspraken](https://hackindex.nl/security)
- [security.txt](https://hackindex.nl/.well-known/security.txt)

Bron: https://hackindex.nl/research/hi-ma-2026-001