Morten Lyhne Petersen
Populære browser-udvidelser blev pludselig lavet om til spionprogrammer, efter de havde ligget uskyldigt i browseren i årevis.
Sikkerhedsforskere har i løbet af det sidste halve år afsløret flere kampagner, hvor helt almindelige tilføjelser til Chrome, Edge og Firefox blev brugt til at overvåge brugerne, stjæle logins og aflytte deres chats med kunstig intelligens.
Fælles for angrebene er, at ofrene ikke selv gjorde noget forkert. De havde bare hentet en udvidelse fra den officielle butik, brugt den i flere år, og en dag begyndte den at spionere.
Malware forklædt som logo-billede
I januar 2026 dokumenterede sikkerhedsfirmaet Malwarebytes en gruppe, forskerne kalder DarkSpectre. Bag gruppen ligger tre kampagner med navnene ShadyPanda, GhostPoster og Zoom Stealer, som ramte brugere på tværs af Firefox, Chrome og Edge.
I GhostPoster-kampagnen fandt Malwarebytes 17 kompromitterede Firefox-udvidelser med tilsammen over 50.000 downloads. Angriberne havde gemt skadelig JavaScript-kode inde i PNG-logoerne på udvidelserne, en teknik kaldet steganografi, der gjorde koden usynlig for de automatiske sikkerhedstjek.
En udvidet analyse fandt yderligere 17 tilfælde med tilknytning til gruppen, og samlet er de blevet hentet mere end 840.000 gange. Nogle af dem havde ligget aktive i op til fem år.
Blandt navnene på de ramte tilføjelser var Full Page Screenshot, Google Translate in Right Click, Instagram Downloader og Youtube Download. Mozilla har deaktiveret de identificerede udvidelser i Firefox, men i Chrome og Edge skal brugerne selv fjerne dem manuelt.
Syv års opbygning før angrebet
En anden kampagne, ShadyPanda, blev gennemgået af The Hacker News i december 2025. Her havde bagmændene i syv år udgivet eller opkøbt harmløse Chrome- og Edge-udvidelser, ladet dem køre ganske normalt, og gradvis samlet millioner af brugere.
Da tilliden var på plads, blev udvidelserne pludselig lavet om til malware via en stille opdatering. Cirka 4,3 millioner brugere havde installeret dem, da de blev aktiveret som spyware i midten af 2024. Flere af udvidelserne bar Chrome Web Stores officielle “featured” og “verified” mærker.
Ifølge The Hacker News kunne malwaren downloade og eksekvere vilkårlig JavaScript, aflytte samtlige besøgte URL’er og tastetryk og stjæle sessions-cookies fra tjenester som Microsoft 365 og Google Workspace, uden at udløse alarmen om totrinsbekræftelse.
AI-tilføjelser er den nye risiko
En rapport fra sikkerhedsfirmaet LayerX fra 2026 tegner et billede af hvor udbredt problemet er. 99 procent af erhvervsbrugere har mindst én browser-udvidelse installeret, og omkring 25 procent har mere end ti.
Rapporten peger særligt på tilføjelser bygget op om kunstig intelligens som en ny risiko. Cirka 15 procent af de undersøgte medarbejdere har installeret en AI-udvidelse, og de er ifølge LayerX 60 procent mere tilbøjelige til at have en kendt sårbarhed, tre gange mere tilbøjelige til at have adgang til cookies og 2,5 gange mere tilbøjelige til at kunne køre fjernstyret kode.
Samtidig har 34 procent af alle udvidelser fået udvidet deres tilladelser i løbet af det seneste år, ofte uden at brugerne har lagt mærke til det.
Sådan reducerer du risikoen
ESET-forsker Phil Muncaster opsummerede i juli 2025 en række konkrete råd. Hent kun udvidelser fra de officielle butikker, læs hvilke tilladelser den kræver, og vær skeptisk hvis en simpel tilføjelse pludselig vil have adgang til alt hvad du foretager dig på nettet.
Han anbefaler også at holde browseren opdateret, slå totrinsbekræftelse til på vigtige konti og jævnligt gennemgå listen over installerede udvidelser og fjerne dem, du ikke længere bruger.
Rådet gælder både Chrome, Edge og Firefox. En udvidelse, du installerede for tre år siden og aldrig tænker over, kan være netop den, angriberne satser på.
