{"id":232797,"date":"2026-07-08T04:01:18","date_gmt":"2026-07-08T11:01:18","guid":{"rendered":"https:\/\/www.mcafee.com\/blogs\/?p=232797"},"modified":"2026-07-08T04:01:18","modified_gmt":"2026-07-08T11:01:18","slug":"krypto-clipper-wallet-austausch-browser-erweiterung-malware","status":"publish","type":"post","link":"https:\/\/www.mcafee.com\/blogs\/de-de\/internet-security\/krypto-clipper-wallet-austausch-browser-erweiterung-malware\/","title":{"rendered":"Still und heimlich ausgetauscht: Eine Kampagne mit “Crypto Clipper”-Erweiterung"},"content":{"rendered":"

Verfasst von Neil Tyagi<\/em><\/p>\n

Zusammenfassung<\/span><\/b>\u00a0<\/span><\/h2>\n

McAfee+\u2122 Advanced Threat Research hat eine aktive Kampagne mit Browser-Erweiterungen identifiziert, bei der Wallet-Adressen kurz vor einer Transaktion unbemerkt ersetzt werden, um so Kryptow\u00e4hrung zu stehlen.<\/strong> Die Payload wird \u00fcber unsignierte Installationsprogramme verteilt, die sowohl in .NET- als auch in Golang-Varianten beobachtet wurden. Die Programme installieren eine sch\u00e4dliche Chromium-Erweiterung, die sich als vermeintlich harmlose “Google Notes”-Anwendung tarnt.\u00a0<\/span>\u00a0<\/span><\/p>\n

Die Kampagne steht in Zusammenhang mit einem fr\u00fcheren Blog-Beitrag von McAfee Labs mit dem Titel <\/span>“Sinkholing CountLoader: Insights into Its Recent Campaign” (Sinkholing CountLoader: Einblicke in die neueste Kampagne)<\/span><\/i><\/a>,<\/span> da hinter<\/span> beiden<\/span> Operationen<\/span> offenbar derselbe Bedrohungsakteur steckt.<\/span> In der fr\u00fcheren Untersuchung analysierten wir eine Crypto Clipper-Payload, die direkt in den Arbeitsspeicher injiziert wurde. In diesem Beitrag untersuchen wir eine andere Variante der Endphasen-Payload: eine browserbasierte, sch\u00e4dliche Erweiterung, die Kryptow\u00e4hrungstransaktionen abf\u00e4ngt und manipuliert. <\/span>\u00a0<\/span><\/p>\n

In diesem Bericht beschreiben wir detailliert die Vorgehens- und Funktionsweise der Erweiterung und f\u00fchren eine technische Analyse der Mechanismen durch, die diese Bedrohung so au\u00dfergew\u00f6hnlich machen. Die Erweiterung verh\u00e4lt sich wie ein Crypto Clipper mit \u00dcberwachung der Zwischenablage: Sie \u00fcberwacht Kopier- und Einf\u00fcgevorg\u00e4nge, erkennt Wallet-Adressen f\u00fcr mehrere Blockchains und ersetzt diese durch vom Angreifer kontrollierte Adressen, kurz bevor das Opfer den Inhalt einf\u00fcgt. Da die meisten Blockchain-Transaktionen nicht r\u00fcckg\u00e4ngig gemacht werden k\u00f6nnen, kann bereits eine einzige manipulierte Transaktion zu dauerhaftem finanziellen Verlust f\u00fchren.<\/span>\u00a0<\/span><\/p>\n

Zwei Merkmale heben diese Kampagne von der typischen Clipper-Bedrohung ab:<\/span>\u00a0<\/span><\/p>\n

    \n
  1. Missbrauch der Vertrauensschicht in Chromium:<\/span><\/b>\u00a0<\/span><\/b>Das Installationsprogramm zwingt Chromium-basierten Browsern wie Google Chrome, Brave und Microsoft Edge unbemerkt eine sch\u00e4dliche Browsererweiterung auf, indem es gesch\u00fctzte Dateien f\u00fcr Browsereinstellungen ver\u00e4ndert. In der Regel speichern die Browser Sicherheits\u00fcberpr\u00fcfungsdaten (Hash-\/HMAC-Werte) zusammen mit sensiblen Einstellungen, um unbefugte \u00c4nderungen zu erkennen<\/span>.\u00a0<\/span><\/b>Die Malware berechnet diese Sicherheitswerte nach der Manipulation der Dateien neu und ver\u00e4ndert sie entsprechend, wodurch der Browser glaubt, die sch\u00e4dliche Erweiterung sei rechtm\u00e4\u00dfig installiert worden. Dadurch kann die Erweiterung den \u00fcblichen Installationsprozess \u00fcber den Web Store f\u00fcr Erweiterungen umgehen und unbemerkt ohne Zustimmung des Benutzers im Hintergrund geladen werden. Bei den aktuellen Versionen der Browser Chrome und Edge muss das Opfer den Entwicklermodus manuell aktivieren, damit die Erweiterung ordnungsgem\u00e4\u00df geladen wird. Benutzer mit \u00e4lteren Versionen von Chromium-basierten Browsern sind jedoch weiterhin einem hohen Risiko ausgesetzt. Bei den neuesten Versionen wenden die Angreifer auch h\u00e4ufig Social-Engineering-Taktiken an, um den Entwicklermodus zu aktivieren.<\/span><\/li>\n
  2. Blockchain-gest\u00fctztes Command-and-Control (C2):<\/strong> Die Erweiterung enth\u00e4lt keine fest programmierte C2-Domain. Stattdessen fragt sie einen \u00f6ffentlichen Blockchain-RPC-Endpunkt ab, ruft eine schreibgesch\u00fctzte Smart-Contract-Methode auf und dekodiert die Antwort zur Laufzeit, um die zum Zeitpunkt der Analyse beobachtete aktive C2-Domain “zebregts[.]com” offenzulegen. <\/span>Diese oft als “EtherHiding”<\/strong> bezeichnete Technik erschwert die Stilllegung von C2-Domains, da der Angreifer die Infrastruktur wechseln kann, indem er einfach einen Wert des Smart Contracts \u00e4ndert, sodass die Malware nicht erneut \u00fcbertragen werden muss.<\/span><\/span>\u00a0<\/span><\/li>\n<\/ol>\n

    Die McAfee-Telemetriedaten <\/span>zeigen, <\/span>dass sich die Malware weltweit verbreitet, wobei Indien besonders stark betroffen ist. Die breite geografische Streuung deutet eher auf eine gezielte Jagd auf private Kryptow\u00e4hrungs-Nutzer hin als auf einen Angriff auf eine bestimmte Region.<\/span><\/span>\u00a0<\/span><\/p>\n

    Geografische Verbreitung<\/span><\/span>\u00a0\u00a0<\/span><\/h2>\n
    \"Eine
    Unsere Untersuchungen zeigen, dass dies die weltweit am st\u00e4rksten betroffenen Regionen sind.<\/figcaption><\/figure>\n

    Die Analyse der Telemetriedaten zeigt, dass die Infektionen weltweit auftreten<\/strong>, wobei in Indien im Vergleich zu anderen Regionen eine deutlich h\u00f6here Konzentration zu beobachten ist.\u00a0<\/span><\/p>\n

    Die breite geografische Streuung deutet eher auf eine gezielte Jagd auf private Kryptow\u00e4hrungs-Nutzer hin als auf einen Angriff auf eine bestimmte Region.<\/span><\/span>\u00a0<\/span><\/p>\n

    Die sch\u00e4dliche Erweiterung: “Google Notes”<\/span><\/span>\u00a0<\/span><\/h2>\n

    Die Malware tarnt sich als <\/span>scheinbar harmlose<\/span> Google Notes-Erweiterung.<\/span><\/span>\u00a0<\/span><\/p>\n

    \"Die
    Abb. 1: Das Bild zeigt die sch\u00e4dliche Erweiterung, die im Mittelpunkt der Kampagne steht.<\/em><\/figcaption><\/figure>\n

    Die installierte Erweiterung pr\u00e4sentiert sich als minimalistische, seri\u00f6s wirkende Notizenanwendung mit dem Namen “Google Notes”, einem unverd\u00e4chtigen Symbol und einer funktionalen (und einfach gestalteten) Benutzeroberfl\u00e4che. <\/span>\u00a0<\/span><\/p>\n

    Die Tarnung ist gut durchdacht: Wenn Benutzer die Erweiterung manuell \u00f6ffnen, finden sie ein Programm vor, das wie beschrieben funktioniert und somit kaum Verdacht erregt. Die sch\u00e4dliche Logik der Erweiterung ist in Service-Worker- und Content-Skripten implementiert, die im Hintergrund laufen und auf der Benutzeroberfl\u00e4che nicht zu sehen sind.<\/span>\u00a0<\/span><\/p>\n

    Ein erstes deutliches Warnsignal tritt bereits beim Installieren der Erweiterung auf, wenn sie Sicherheitsberechtigungen und Zugriffsrechte anfordert, die f\u00fcr eine typische Notizenanwendung au\u00dferordentlich umfangreich sind. Dazu geh\u00f6ren:<\/b><\/b><\/b><\/b><\/b><\/b><\/b><\/b><\/p>\n

      \n
    • Zugriff auf alle URLs, wodurch Content-Skripte in jede vom Benutzer besuchte Website injiziert werden k\u00f6nnen<\/span><\/li>\n
    • Zugriff auf den Browserverlauf<\/span>\u00a0<\/span><\/li>\n
    • Lese- und Schreibzugriff auf die Zwischenablage<\/span>\u00a0<\/span><\/li>\n<\/ul>\n

      Schutzma\u00dfnahmen und Empfehlungen<\/span>\u00a0<\/span><\/h2>\n

      F\u00fcr Verbraucher<\/span>\u00a0<\/span><\/h3>\n
        \n
      1. Bevor Sie eine Kryptow\u00e4hrungstransaktion best\u00e4tigen,<\/span> gleichen Sie manuell die ersten und letzten sechs Zeichen der eingef\u00fcgten Empf\u00e4ngeradresse <\/span><\/b> mit der Originaladresse ab\u00a0\u2013 idealerweise auf einem separaten Ger\u00e4t.\u00a0Mit dieser einen Ma\u00dfnahme k\u00f6nnen Sie sich bereits vor den meisten Clipper-Angriffen sch\u00fctzen.<\/span>\u00a0<\/span><\/li>\n
      2. Installieren Sie Browser-Erweiterungen ausschlie\u00dflich \u00fcber den offiziellen Chrome Web Store<\/span><\/b>, dem Edge-Add-ons-Store oder einem vergleichbaren Store. Wenn eine Erweiterung in Ihrer Liste installierter Erweiterungen erscheint, an deren Installation Sie sich jedoch nicht eindeutig erinnern k\u00f6nnen, sollten Sie sie als verd\u00e4chtig einstufen.<\/span>\u00a0<\/span><\/li>\n
      3. \u00dcberpr\u00fcfen Sie die Berechtigungen der installierten Erweiterungen<\/span><\/b>. Es gibt keinen guten Grund, warum ein Tool zum Erstellen von Notizen Zugriff auf alle Websites, den Browserverlauf oder die Zwischenablage ben\u00f6tigt.<\/span>\u00a0<\/span><\/li>\n
      4. F\u00fchren Sie keine unsignierten ausf\u00fchrbaren Dateien von nicht vertrauensw\u00fcrdigen Quellen aus\u00a0\u2013<\/span><\/b> insbesondere nicht von Seiten, die kostenlose oder gecrackte Versionen kostenpflichtiger Software anbieten. Dies ist ein h\u00e4ufiger \u00dcbertragungsweg f\u00fcr Installationsprogramme dieser Art.<\/span>\u00a0<\/span><\/li>\n
      5. Stellen Sie sicher, dass Ihr Endger\u00e4teschutz auf dem neuesten Stand ist und aktiviert wurde.<\/span><\/b> Wie im Folgenden beschrieben, sind McAfee-Kunden vor dieser speziellen Kampagne gesch\u00fctzt.<\/span>\u00a0<\/span><\/li>\n<\/ol>\n

        Die McAfee\u00ae Security-L\u00f6sungen sch\u00fctzen Benutzer auf mehreren Ebenen:<\/span>\u00a0<\/span><\/h3>\n

        1. McAfee erkennt diese Bedrohung als “CryptoStealer.NE” und sorgt so f\u00fcr die Sicherheit von McAfee-Kunden.<\/span><\/b>\u00a0<\/span><\/h4>\n
        \"Abb.
        Abb. 2: Dieses Bild zeigt, wie McAfee Antivirus die Bedrohung f\u00fcr Privatanwender blockiert.<\/em><\/figcaption><\/figure>\n

        2. Schutz vor sch\u00e4dlichen Downloads<\/span><\/b><\/h4>\n

        Das Verhalten des Installationsprogramms \u2013 Herunterladen und Ausf\u00fchren von Payloads \u2013 wird von McAfee erkannt und blockiert, noch bevor eine Infektion erfolgen kann.<\/span>\u00a0<\/span>In unseren Tests wurden alle sch\u00e4dlichen Domains und URLs durch McAfee blockiert.<\/span>\u00a0<\/span><\/p>\n

        3. Netzwerkschutz<\/span><\/b><\/h4>\n

        Verbindungen zu bekannter b\u00f6swilliger Infrastruktur (C2-Servern) werden von McAfee blockiert, wodurch das Abrufen von Wallet-Adressen verhindert wird.<\/span>\u00a0<\/span><\/p>\n

        4. Echtzeit-Bedrohungsdaten<\/span><\/b><\/h4>\n

        Da die Bedrohung in den McAfee-Telemetriedaten erkannt wurde, werden mit den Schutzfunktionen folgende Ma\u00dfnahmen ergriffen:<\/span>\u00a0<\/span><\/p>\n

          \n
        • Blockierung \u00e4hnlicher Varianten<\/span>\u00a0<\/span><\/li>\n
        • Erkennung zugeh\u00f6riger Infrastruktur<\/span>\u00a0<\/span><\/li>\n
        • Schutz von Kunden weltweit<\/span>\u00a0<\/span><\/li>\n<\/ul>\n

          So funktioniert die Bedrohungskampagne<\/span><\/span>\u00a0<\/span><\/h1>\n

          So geht die Malware vor<\/span>\u00a0\u00a0<\/span><\/h2>\n
            \n
          1. Sie installiert im Hintergrund eine <\/span>Browser-Erweiterung (Stichwort: Sideloading von Web-Erweiterungen).<\/span>\u00a0<\/span><\/li>\n
          2. Sie \u00fcberwacht alle Kopier- und Einf\u00fcgevorg\u00e4nge (insbesondere Kryptow\u00e4hrungs-Adressen).<\/span>\u00a0<\/span><\/li>\n
          3. Sie aktiviert sich, wenn Sie eine Kryptow\u00e4hrungs-Transaktion ausf\u00fchren.<\/span>\u00a0<\/span><\/li>\n
          4. Sie ersetzt die Wallet-Adresse unbemerkt durch die Adresse der Angreifer.<\/span>\u00a0<\/span><\/li>\n
          5. Ihr Geld wird an die Angreifer statt an den vorgesehenen Empf\u00e4nger gesendet.<\/span>\u00a0<\/span><\/li>\n<\/ol>\n

            Da Transaktionen mit Kryptow\u00e4hrungen in der Regel <\/span>nicht r\u00fcckg\u00e4ngig<\/span><\/b> gemacht werden k\u00f6nnen, ist das Geld der Opfer h\u00e4ufig unwiederbringlich verloren.<\/strong><\/span><\/p>\n

            \"Abb.
            Abb. 3: \u00dcberblick \u00fcber die Funktionsweise der Erweiterung.<\/em><\/figcaption><\/figure>\n

            Identifizierte Kernfunktionen<\/span><\/span>\u00a0<\/span><\/h2>\n

            1. Installation einer Erweiterung im Hintergrund<\/span><\/span>\u00a0<\/span><\/h3>\n

            Die Malware nutzt nicht den offiziellen Browser-Store, sondern ver\u00e4ndert die lokalen Browser-Dateien so, dass es so aussieht, als sei die Erweiterung installiert worden (Sideloading einer Browser-Erweiterung).<\/span><\/p>\n

            Dadurch werden die \u00fcblichen Sicherheitsabfragen umgangen und der Benutzer wird nicht darauf aufmerksam.<\/span>\u00a0<\/span><\/span>\"<\/span <\/span><\/p>\n

            2. Vollst\u00e4ndiger Browserzugriff<\/span><\/span>\u00a0<\/span><\/h3>\n
            \"Abb.
            Abb. 5: Erforderliche Berechtigungen f\u00fcr die Chrome-Erweiterung.<\/em><\/figcaption><\/figure>\n
            \"Abb.
            Abb. 6: Manifest-Datei f\u00fcr die Web-Erweiterung.<\/em><\/figcaption><\/figure>\n

            Die sch\u00e4dliche Erweiterung fordert u.\u00a0a. folgende \u00fcberm\u00e4\u00dfige Berechtigungen an:<\/span>\u00a0<\/span><\/p>\n

              \n
            • Zugriff auf alle Websites<\/span>\u00a0<\/span><\/li>\n
            • Lesezugriff auf den Browserverlauf<\/span>\u00a0<\/span><\/li>\n
            • Lese- und Schreibzugriff auf den Inhalt der Zwischenablage<\/span>\u00a0<\/span><\/li>\n<\/ul>\n

              3. Abfangen von Kryptow\u00e4hrungs-Adressen<\/span><\/b><\/h3>\n

              Die Erweiterung enth\u00e4lt eine Logik zur Erkennung von Wallet-Adressen f\u00fcr verschiedene Kryptow\u00e4hrungen. Dazu geh\u00f6ren folgende:<\/span><\/p>\n

              \"Abb.
              Abb. 7: Fest programmierte Regexes und Ausweichadressen f\u00fcr Kryptow\u00e4hrungen.<\/em><\/figcaption><\/figure>\n
                \n
              • Die im Code angegebenen Fallback-Adressen f\u00fcr Wallets werden nicht bei jeder Transaktion verwendet. Sie dienen vielmehr als Sicherheitsmechanismus f\u00fcr den Fall, dass der dynamische Abruf der Adressen vom Server der Angreifer fehlschl\u00e4gt.\u00a0<\/span>\u00a0<\/span><\/li>\n
              • Wenn alles normal funktioniert, ruft die Erweiterung Ersatzadressen von einem Remote-Server ab, um Wallet-Adressen dynamisch und potenziell f\u00fcr das jeweilige Opfer zuzuweisen.\u00a0<\/span>\u00a0<\/span><\/li>\n
              • Dank der Ausweichadressen funktioniert der Angriff auch dann, wenn die Command-and-Control-Infrastruktur vor\u00fcbergehend nicht verf\u00fcgbar ist oder blockiert wird.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n
                \"Abb.
                Abb. 8: Die sch\u00e4dliche Erweiterung f\u00fchrt eine dynamische Aufl\u00f6sung von Kryptow\u00e4hrungs-Adressen durch.<\/em><\/figcaption><\/figure>\n
                  \n
                • Diese Funktion dient dazu, die von den Angreifern kontrollierte Ersatzadresse f\u00fcr die Wallet-Adresse des Opfers abzurufen.\u00a0<\/span>\u00a0<\/span><\/li>\n
                • Die Funktion sendet die abgefangene Wallet-Adresse an das Angreifer-Backend, erh\u00e4lt eine Antwort und ersetzt dann dynamisch die urspr\u00fcngliche Adresse. <\/span>\u00a0<\/span><\/li>\n
                • Wenn die Backend-Anfrage fehlschl\u00e4gt, greift die Funktion auf eine vordefinierte, fest programmierte Wallet-Adresse zur\u00fcck, sodass die b\u00f6swilligen Aktivit\u00e4ten ununterbrochen fortgesetzt werden k\u00f6nnen.<\/span>\u00a0<\/span><\/li>\n
                • 3J98t1Wxxxx ist die Adresse, die in die Zwischenablage kopiert wurde.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n

                  4.<\/span>\u00a0<\/span>Umgehung von Erkennungsma\u00dfnahmen und Verschleierung<\/span><\/span>\u00a0<\/span><\/h3>\n
                  \"Abb.
                  Abb. 8: Die Datei “Settings.js” mit Konfiguration.<\/em><\/figcaption><\/figure>\n
                    \n
                  • Die Konfiguration enth\u00e4lt einen fest programmierten API-Schl\u00fcssel, mit dem die Erweiterung die Kommunikation mit der Angreifer-Infrastruktur authentifiziert.\u00a0<\/span>\u00a0<\/span><\/li>\n
                  • Mithilfe einer RPC-URL, die auf einen \u00f6ffentlichen Blockchain-Knoten verweist, werden Backend-Serverinformationen dynamisch aufgel\u00f6st. Dadurch kann der Angreifer kritische Infrastruktur hinter dezentralen Systemen verbergen.\u00a0<\/span>\u00a0<\/span><\/li>\n
                  • Die Anwesenheit einer Smart-Contract-Adresse und der entsprechenden Methode deutet darauf hin, dass die Malware ihre C2-Domain indirekt \u00fcber Blockchain-Abfragen abruft, was die Stilllegung und Nachverfolgung der Server erschwert.<\/span>\u00a0<\/span><\/li>\n
                  • Die unter “Blacklist” aufgef\u00fchrten URLs sind Websites zur Blockchain-\u00dcberpr\u00fcfung, auf denen die Web-Erweiterung deaktiviert ist. Dies geschieht, damit das Opfer keinen Verdacht sch\u00f6pft, w\u00e4hrend es versucht, seine eigene Adresse einzuf\u00fcgen, den Kontostand seiner Wallet abzurufen oder die Transaktionen seiner Wallet zu \u00fcberpr\u00fcfen.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n
                    \"Abb.
                    Abb. 9: Aufl\u00f6sung der C2-Domain des Angreifers \u00fcber Ethereum-Smart-Contract (Etherhiding).<\/em><\/figcaption><\/figure>\n
                    \"Abb.
                    Abb. 10: Request-Payload mit Adresse des Ethereum-Smart-Contracts.<\/em><\/figcaption><\/figure>\n
                      \n
                    • Eine dynamische Analyse ergab, dass die Malware ihre C2-Domain \u00fcber einen Smart Contract in der Blockchain aufl\u00f6st, der zur Laufzeit die Domain\u00a0<\/span>devops-offensive[.]cc <\/span><\/i><\/b>ausgibt.\u00a0<\/span>\u00a0<\/span><\/li>\n
                    • Die Antwort aus der Blockchain wird zur Laufzeit entschl\u00fcsselt, wodurch die aktive C2-Domain (devops-offensive.cc) offengelegt wird.\u00a0<\/span>\u00a0<\/span><\/li>\n
                    • Diese Domain ist nicht fest codiert, sodass der Angreifer die Infrastruktur ver\u00e4ndern kann, ohne die Malware umschreiben zu m\u00fcssen.\u00a0<\/span>\u00a0<\/span><\/li>\n
                    • Die aufgel\u00f6ste Domain wird lokal zwischengespeichert, um Persistenz zu gew\u00e4hrleisten und wiederholte Netzwerkabfragen zu vermeiden.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n
                      \"Abb.
                      Abb. 11: Das Bild zeigt die langkodierte Zeichenfolge mit der sch\u00e4dlichen Domain.<\/em><\/figcaption><\/figure>\n

                      Die <\/span><\/span>langkodierte Zeichenfolge wird mithilfe der folgenden <\/span>Funktion<\/span> entschl\u00fcsselt, um die Angreifer-Domain auszugeben.<\/span><\/span><\/p>\n

                      \"Abb.
                      Abb. 12: Das Bild zeigt die endg\u00fcltige Angreifer-Domain.<\/em><\/figcaption><\/figure>\n

                      Persistenz- und Verschleierungstechniken<\/span><\/span>\u00a0<\/span><\/h2>\n

                      Die Kampagnentechniken zur Persistenz und Verschleierung sind bewusst mehrschichtig gew\u00e4hlt.<\/span> Der Akteur hat sie eindeutig auf <\/span>zwei Aspekte hin optimiert: geringe Sichtbarkeit f\u00fcr den Endnutzer und hohe Widerstandsf\u00e4higkeit gegen\u00fcber Stilllegungsma\u00dfnahmen und statischen Analysen.<\/span><\/span>\u00a0<\/span><\/p>\n

                      Persistenz<\/span>\u00a0<\/span><\/h3>\n
                        \n
                      • Die Registrierung der Erweiterung durch die Manipulation der “Secure Preferences” sorgt daf\u00fcr, dass die Erweiterung bei jedem nachfolgenden Start des Browsers geladen wird, ohne dass ein zus\u00e4tzlicher Persistenzmechanismus unter Windows erforderlich ist.<\/span> Es m\u00fcssen also keine Registry-Schl\u00fcssel ausgef\u00fchrt oder geplante Aufgaben oder Dienste erstellt werden, die von Endpunkt-Analysten \u00fcblicherweise \u00fcberpr\u00fcft werden.<\/span><\/i><\/b>\u00a0<\/span><\/li>\n
                      • Der Entwicklermodus wird bei Bedarf programmatisch aktiviert. Dadurch k\u00f6nnen entpackte Erweiterungen bestehen bleiben, ohne die regelm\u00e4\u00dfig wiederkehrenden Chromium-Warnhinweise auszul\u00f6sen, die vor Sideloading abschrecken sollen.<\/span>\u00a0<\/span><\/li>\n
                      • Durch die zwischengespeicherte C2-Domain kann die Erweiterung weiterhin auf ein zuverl\u00e4ssig funktionierendes Backend zugreifen, selbst wenn der RPC-Endpunkt der Blockchain vor\u00fcbergehend nicht verf\u00fcgbar ist.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n

                        Verschleierung<\/span>\u00a0<\/span><\/h3>\n
                          \n
                        • Die Tarnung der Erweiterung als einfache Notizen-App “Google Notes” f\u00e4llt bei einem fl\u00fcchtigen Blick auf die Liste der installierten Erweiterungen nicht sofort auf.<\/span>\u00a0<\/span><\/li>\n
                        • Die neu berechneten HMAC-Werte bestehen die Chromium-Integrit\u00e4tspr\u00fcfung, wodurch das Banner “Erweiterung aus einer unbekannten Quelle installiert” nicht erscheint, das Benutzer sonst warnen w\u00fcrde.<\/span>\u00a0<\/span><\/li>\n
                        • Das Installationsprogramm l\u00f6scht sich nach der Ausf\u00fchrung selbst und beseitigt damit den offensichtlichsten Kompromittierungsindikator auf der Festplatte f\u00fcr den Erstangriff<\/span>.<\/span>\u00a0<\/span><\/li>\n
                        • Durch die Aufl\u00f6sung des C2-Servers \u00fcber eine \u00f6ffentliche Blockchain ist im Malware-Paket selbst keine dauerhafte C2-Domain erkennbar. Netzwerkbasierte Erkennungsmechanismen, die auf fest programmierten Indikatoren basieren, werden erst ausgel\u00f6st, wenn die Domain aufgel\u00f6st und kontaktiert wird.<\/span>\u00a0<\/span><\/li>\n
                        • Mehrsprachige Installationsvarianten (.NET und Golang) senken die Wirksamkeit der Erkennung von Signaturen von Kompilierungsartefakten und Bin\u00e4rfunktionen.<\/span>\u00a0<\/span><\/li>\n
                        • Dank der dynamischen Ersetzung der jeweiligen Adresse verfallen ver\u00f6ffentlichte Angreiferadressen sehr schnell und k\u00f6nnen nicht zu dauerhaften Blocklist-Eintr\u00e4gen zusammengetragen werden. Die Verteidiger m\u00fcssen daher den Backend-Dienst selbst blockieren, nicht die von ihm vergebenen Adressen.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n

                          Logik der Ersetzung von Wallet-Adressen<\/span><\/span><\/span>\u00a0<\/span><\/h2>\n

                          Die Clipper-Logik ist in zwei Ebenen unterteilt: eine Ebene mit Content-Skripten, die die Aktivit\u00e4ten in der Zwischenablage sowie die DOM-Eingabefelder auf allen besuchten Domains \u00fcberwacht, und eine Hintergrundebene, die mit dem Backend des Angreifers kommuniziert und Ersatzadressen abruft.<\/span>\u00a0<\/span><\/p>\n

                          Wenn die Erweiterung einen Kopiervorgang feststellt, wendet sie eine Reihe von kryptow\u00e4hrungsspezifischen regul\u00e4ren Ausdr\u00fccken auf der Zwischenablage-Payload an. Wenn eine \u00dcbereinstimmung gefunden wird, wird die abgefangene Adresse \u00fcber eine mit dem in der Konfiguration eingebetteten API-Schl\u00fcssel authentifizierte Anfrage an das Angreifer-Backend \u00fcbermittelt.<\/span> Das Backend antwortet mit einer Ersatzadresse, die speziell auf das \u00fcbermittelte Original zugeschnitten ist. Diese Ersatzadresse wird zur\u00fcck in die Zwischenablage geschrieben und \u00fcberschreibt die legitime Adresse, bevor das Opfer den Inhalt einf\u00fcgen kann.<\/span>\u00a0<\/span><\/p>\n

                          Tests mit einem rekonstruierten Backend-Client \u2013 erstellt mithilfe der erneuten Implementierung des Anfrageformats und der Antwortdekodierungslogik der Erweiterung in Python \u2013 ergaben ein aufschlussreiches Verhaltensprofil:<\/span>\u00a0<\/span><\/p>\n

                            \n
                          • Bitcoin<\/span><\/b> (BTC), Ethereum, Bitcoin Cash, Ripple und Dash: <\/span><\/b>Jeder \u00fcbermittelten Adresse wird eine eindeutige, vom Angreifer kontrollierte Adresse zugeordnet. Wenn dieselbe Ausgangsadresse erneut \u00fcbermittelt wird, wird dieselbe Ersatzadresse zur\u00fcckgegeben. Dies deutet auf eine serverseitig verwaltete, deterministische Eins-zu-Eins-Zuordnung hin.<\/span>\u00a0<\/span><\/li>\n
                          • Solana:<\/span><\/b> Alle \u00fcbermittelten Adressen f\u00fchren auf eine einzige Angreiferadresse zur\u00fcck, was darauf hindeutet, dass die opferspezifische Zuordnungsfunktion selektiv nach Blockchain implementiert ist.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n

                            Analyse der Kryptow\u00e4hrungs-Wallets des Angreifers<\/span><\/span>\u00a0<\/span><\/h2>\n

                            Mithilfe der Codeausschnitte aus der Web-Erweiterung zum Abrufen von Ersatzadressen wurde ein Python-Skript erstellt, das die Wallet-Adressen der Angreifer programmatisch extrahiert. Die Payload wurde auf der Grundlage des Angreifer-Codes erstellt, wobei der Codeausschnitt “get replacement address” direkt daraus \u00fcbernommen wurde. Auch die Angreiferlogik zur Dekodierung der vom C2-Server empfangenen Daten wurde f\u00fcr das Skript unver\u00e4ndert \u00fcbernommen.<\/span>\u00a0<\/span><\/p>\n

                            Anschlie\u00dfend wurde das Skript mit einigen Testadressen von Bitcoin-Wallets (BTC) ausgef\u00fchrt. Dabei zeigte sich, dass f\u00fcr jede \u00fcbertragene Bitcoin-Adresse eine eindeutige Bitcoin-Adresse als Antwort zur\u00fcckgegeben wurde und dass es sich bei allen zur\u00fcckgegebenen Adressen um g\u00fcltige BTC-Wallets handelte. Dies deutet darauf hin, dass der Angreifer f\u00fcr jede \u00fcbermittelte BTC-Adresse dynamisch eine neue Wallet generiert, die zu der jeweiligen Eingabeadresse passt. Zudem wurde bei erneuter Eingabe derselben Adresse wieder dieselbe BTC-Adresse zur\u00fcckgegeben. Damit ist best\u00e4tigt, dass <\/span>jede BTC-Adresse eines Opfers deterministisch einer einzigen speziellen und vom Angreifer kontrollierten Adresse zugeordnet wird<\/span><\/b>. Einige der Angreifer-Wallets enthielten Guthaben, andere waren hingegen leer. Da aber die Gesamtzahl der Angreifer-Wallets unbekannt ist, l\u00e4sst sich nur schwer zuverl\u00e4ssig absch\u00e4tzen, wie viel Kryptow\u00e4hrung insgesamt gestohlen wurde.<\/span>\u00a0<\/span><\/p>\n

                            Das gleiche Verhalten zeigt sich bei Ethereum, wo f\u00fcr jede eingegebene Wallet-Adresse eine unterschiedliche Adresse zur\u00fcckgegeben wurde. Interessanterweise wurde bei Tests mit Solana-Adressen unabh\u00e4ngig von der Zahl unterschiedlicher Eingaben stets nur eine einzige Adresse zur\u00fcckgegeben. Das l\u00e4sst darauf schlie\u00dfen, dass der Angreifer die Funktion der adressenspezifischen Zuordnung nur f\u00fcr bestimmte Kryptow\u00e4hrungen implementiert hat, w\u00e4hrend bei anderen auf eine einzige statische Drop-Wallet zur\u00fcckgegriffen wird. Da die Solana-Adresse f\u00fcr alle Opfer die gleiche ist, ist hier ein deutlicher Anstieg des Guthabens zu erkennen. Zudem stellte sich heraus, dass bei einer der aufgedeckten Ethereum-Adressen Guthaben im Wert von etwa 1902 US-Dollar hinterlegt waren.<\/span>\u00a0<\/span><\/p>\n

                            Zusammenfassend l\u00e4sst sich sagen, dass Bitcoin, Ethereum, Bitcoin Cash, Ripple und Dash<\/strong> zu den Kryptow\u00e4hrungen<\/strong> geh\u00f6ren, f\u00fcr die pro Opfer individuelle Wallet-Adressen generiert werden.<\/span><\/p>\n

                            \"Abb.
                            Abb. 13: Die Payload wurde mithilfe des Angreifercodes erstellt.<\/em><\/figcaption><\/figure>\n
                            \"Abb.
                            Abb. 14: Aus dem Angreifer-Code \u00fcbernommener Codeausschnitt zum Abrufen von Ersatzadressen.<\/em><\/figcaption><\/figure>\n
                            \"Abb.
                            Abb. 15: Die Angreifer-Logik zur Dekodierung der vom C2 empfangenen Daten wurde ebenfalls implementiert.<\/figcaption><\/figure>\n

                            Ausf\u00fchrung<\/span> des Skripts mit Testadressen f\u00fcr Bitcoin-Wallets<\/span><\/span><\/p>\n

                            \"Abb.
                            Abb. 16: F\u00fcr jede Bitcoin-Adresse wurde eine eindeutige Bitcoin-Adresse zur\u00fcckgegeben. Alle Adressen sind g\u00fcltige BTC-Wallet-Adressen.<\/em><\/figcaption><\/figure>\n
                            \"Abb.
                            Abb. 17: Auch f\u00fcr Ethereum wurden eindeutige Adressen zur\u00fcckgegeben.<\/em><\/figcaption><\/figure>\n
                            \"Abb.
                            Abb. 18: Ausf\u00fchrung des Skripts zur \u00dcberpr\u00fcfung von Solana-Testadressen.<\/figcaption><\/figure>\n

                            Zum Gl\u00fcck f\u00fcr Solana erhalten wir dort immer nur eine Adresse zur\u00fcck, selbst wenn mehrere Adressen eingegeben werden. <\/span><\/span>Das zeigt, dass der Angreifer die Funktion zur Adresszuweisung nur bei bestimmten Kryptow\u00e4hrungen implementiert hat.<\/span><\/span>\u00a0<\/span><\/p>\n

                            \"Abb.
                            Abb. 19: Hier ist ein Anstieg des Guthabens zu erkennen.<\/em><\/figcaption><\/figure>\n
                            \"Abb.
                            Abb. 20: Unter der ETH-Adresse befanden sich 1902\u00a0US-Dollar.<\/em><\/figcaption><\/figure>\n

                            Technische<\/span> Analyse einer <\/span>.net-Datei (Installationsprogramm der Erweiterung)<\/span><\/span>\u00a0<\/span><\/h3>\n
                            \"Abb.
                            Abb. 21: “BaseZipInstaller” ist ein unsigniertes .NET-Installationsprogramm.<\/em><\/figcaption><\/figure>\n
                            \"Abb.
                            Abb. 22: Gespeicherte Konfiguration in DnSpy.<\/em><\/figcaption><\/figure>\n
                              \n
                            • In der Malware ist eine vollst\u00e4ndige JSON-Konfigurationsdatei direkt in die Bin\u00e4rdatei eingebettet, sodass f\u00fcr die Ersteinrichtung keine Daten aus externen Quellen abgerufen werden m\u00fcssen.\u00a0<\/span>\u00a0<\/span><\/li>\n
                            • Die integrierte Konfiguration enth\u00e4lt wichtige Details wie API-Schl\u00fcssel, die URL des Backend-Servers, die ins Visier genommenen Wallet-Erweiterungen sowie das vollst\u00e4ndige Manifest der Erweiterung mit umfassenden Berechtigungen.\u00a0<\/span>\u00a0<\/span><\/li>\n<\/ul>\n
                              \"Abb.
                              Abb. 23: Die Hauptfunktion, bei der die Ausf\u00fchrung beginnt.<\/em><\/figcaption><\/figure>\n
                                \n
                              • Das Installationsprogramm ruft von einem Remote-Server (google-services[.]cc\/base[.]zip) ein ZIP-Archiv ab und \u00fcberpr\u00fcft es. Das Archiv dient als prim\u00e4re Payload f\u00fcr die Installation der sch\u00e4dlichen Browsererweiterung und stellt den \u00dcbergang von der Erstinfektion zur Kompromittierung auf Browserebene dar.<\/span><\/span>\u00a0<\/span><\/li>\n<\/ul>\n
                                \"Abb.
                                Abb. 24: An diesem Ort im System wird die Erweiterung mit Dateien installiert, die als “base.zip” heruntergeladen wurden.<\/em><\/figcaption><\/figure>\n
                                \"Abb.
                                Abb. 25: DnSpy mit der Liste der angegriffenen Browser.<\/em><\/figcaption><\/figure>\n
                                  \n
                                • Das Installationsprogramm durchsucht Chromium-basierte Browser wie Chrome, Edge, Opera und Brave, und ermittelt dabei die auf dem System verf\u00fcgbaren Benutzerprofile.\u00a0<\/span>\u00a0<\/span><\/li>\n
                                • Bei jedem erkannten Profil beendet die Malware zwangsweise den Browserprozess, um Konfigurationsdateien sicher und ohne St\u00f6rungen zu \u00e4ndern. <\/span>\u00a0<\/span><\/li>\n
                                • Anschlie\u00dfend injiziert sie die sch\u00e4dliche Erweiterung, indem sie “Secure Preferences” und “Preferences” manipuliert, sodass die Erweiterung ohne Benutzereingriff geladen werden kann.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n
                                  \"weiterer<\/div>\n
                                    \n
                                  • Die Malware erkennt die Installationspfade der Browser durch die Abfrage der Standard-Systemverzeichnisse und findet dadurch die Benutzerdaten-Ordner von Chrome, Edge, Opera und Brave. <\/span>\u00a0<\/span><\/li>\n
                                  • Sie listet systematisch Browserprofile auf und sucht gezielt nach dem Vorhandensein der Datei “Secure Preferences”, in der wichtige Konfigurations- und Erweiterungsdaten der Browser gespeichert sind.\u00a0<\/span>\u00a0<\/span><\/li>\n
                                  • Durch die gezielte Auswahl von Profilen mit “Secure Preferences” stellt die Malware sicher, dass nur g\u00fcltige Browserumgebungen ver\u00e4ndert werden, was die Erfolgsquote beim Einschleusen der Erweiterung erh\u00f6ht.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n
                                    \"Hier
                                    Hier ist das “WriteFile”-Ereignis in den Secure Preferences-Dateien von Chrome und Edge zu sehen, bei dem die Details der heruntergeladenen Erweiterung in die Konfigurationsdateien geschrieben werden.<\/em><\/figcaption><\/figure>\n
                                    \"Abb.
                                    Abb. 27: Angreiferlogik zum erneuten Signieren der Secure Preferences-Dateien.<\/em><\/figcaption><\/figure>\n
                                      \n
                                    • Die Malware liest und ver\u00e4ndert die Secure Preferences-Datei des Browsers, \u00fcber die die installierten Erweiterungen und deren Vertrauensstatus kontrolliert werden.\u00a0<\/span>\u00a0<\/span><\/li>\n
                                    • Die Schadsoftware injiziert die sch\u00e4dliche Erweiterung in die Konfiguration und versucht, die ge\u00e4nderten Daten neu zu signieren, damit sie die Integrit\u00e4tspr\u00fcfungen des Browsers bestehen.\u00a0<\/span>\u00a0<\/span><\/li>\n
                                    • Anschlie\u00dfend wird die ver\u00e4nderte Konfiguration wieder auf die Festplatte geschrieben. So wird sichergestellt, dass die Erweiterung automatisch geladen wird und auch nach einem Neustart des Browsers erhalten bleibt.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n
                                      \"Abb.
                                      Abb. 27B: Der Erweiterungspfad wird in die Secure Preferences-Datei von Chrome geschrieben.<\/em><\/figcaption><\/figure>\n
                                      \"Abb.
                                      Abb. 28: Die Logik zur Manipulation der Abwehrma\u00dfnahmen des Brave-Browsers.<\/em><\/figcaption><\/figure>\n
                                        \n
                                      • Bei Browsern wie Brave und Opera injiziert die Malware die sch\u00e4dliche Erweiterung direkt in die Konfiguration des Browsers, indem sie Eintr\u00e4ge im Abschnitt “extensions.settings” (bzw. “extensions.opsettings”) hinzuf\u00fcgt.\u00a0<\/span>\u00a0<\/span><\/li>\n
                                      • Zudem werden die Integrit\u00e4ts-relevanten Felder (protection.macs) ver\u00e4ndert, damit die injizierte Erweiterung vom Browser als vertrauensw\u00fcrdig eingestuft wird.\u00a0<\/span>\u00a0<\/span><\/li>\n
                                      • Au\u00dferdem versucht die Malware, programmatisch den Entwicklermodus zu aktivieren, wodurch entpackte Erweiterungen mit weniger Einschr\u00e4nkungen ausgef\u00fchrt werden k\u00f6nnen.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n
                                        \"Abb.
                                        Abb. 29: Die Angreifer-Logik zum Abruf der Ger\u00e4te-ID, die zur weiteren Berechnung der Integrit\u00e4tswerte verwendet wird.<\/em><\/figcaption><\/figure>\n
                                          \n
                                        • Die Malware versucht, die Integrit\u00e4tssignaturen des Browsers neu zu berechnen, indem sie neue MAC-Werte (Message Authentication Code) f\u00fcr die ge\u00e4nderte Secure Preferences-Datei generiert.\u00a0<\/span>\u00a0<\/span><\/li>\n
                                        • Sie verwendet systemspezifische Kennungen (z.\u00a0B. die Maschinen-SID) zusammen mit einem Startwert, um den internen Verifizierungsmechanismus von Chrome nachzubilden.\u00a0<\/span>\u00a0<\/span><\/li>\n
                                        • Durch die Neuberechnung der Integrit\u00e4tspr\u00fcfungen (MACs und Super_MAC) versucht die Malware, ihre unbefugten \u00c4nderungen gegen\u00fcber dem Browser als legitim erscheinen zu lassen.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n
                                          \"Abb.
                                          Abb. 30: Die Selbstl\u00f6schungslogik.<\/em><\/figcaption><\/figure>\n
                                            \n
                                          • Die Malware verf\u00fcgt \u00fcber einen Selbstl\u00f6schmechanismus, der die ausf\u00fchrbare Installationsdatei nach erfolgreicher Ausf\u00fchrung entfernt.\u00a0<\/span>\u00a0<\/span><\/li>\n
                                          • Sie startet einen versteckten Eingabeaufforderungsprozess, der die Ausf\u00fchrung kurz verz\u00f6gert, um die Originaldatei anschlie\u00dfend von der Festplatte zu l\u00f6schen.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n

                                            Fazit<\/span>\u00a0<\/span><\/h2>\n

                                            Diese Kampagne veranschaulicht eindrucksvoll, in welche Richtung sich der Kryptodiebstahl an Endverbrauchern entwickelt. Der Angreifer hat die \u00e4lteste und einfachste Kategorie von Krypto-Malware\u00a0\u2013 den “Clipper”\u00a0\u2013 genutzt und drei ihrer gr\u00f6\u00dften Schwachstellen still und leise aufgewertet. So wurden statische Angreiferadressen durch serverseitige, opferspezifische Zuweisungen ersetzt. Anf\u00e4llige, fest codierte Command-and-Control-Domains wurden durch eine Blockchain-basierte Namensaufl\u00f6sung ersetzt, die der Angreifer mit einer einzigen Transaktion rotieren lassen kann. Zudem wurde der anf\u00e4llige Dropper durch eine Chromium-Erweiterung ersetzt, die direkt in der vertrauensw\u00fcrdigsten Anwendung des Benutzers ausgef\u00fchrt wird und unter der Integrit\u00e4tssignatur des Browsers geladen wird.<\/span>\u00a0<\/span><\/p>\n

                                            McAfee wird diese Kampagne und die damit verbundene Infrastruktur weiterhin im Auge behalten.<\/strong> Unsere Kunden sind durch bestehende Erkennungsma\u00dfnahmen gesch\u00fctzt und profitieren von telemetriebasierten Updates, sodass neue Varianten und ge\u00e4nderte Infrastrukturen erkannt werden.<\/span>\u00a0<\/span><\/p>\n

                                            Kompromittierungsindikatoren<\/span><\/span> (IOC)<\/span><\/h2>\n\n\n\n\n\n\n\n\n\n\n
                                            Typ<\/span><\/b>\u00a0<\/span><\/td>\nKategorie<\/span><\/b>\u00a0<\/span><\/td>\nWert<\/span><\/b>\u00a0<\/span><\/td>\n<\/tr>\n
                                            SHA-256<\/span>\u00a0<\/span><\/td>\n.NET-Installationsprogramm (BaseZipInstaller)<\/span>\u00a0<\/span><\/td>\n2735e12030c195fb5454e4736c51b55b59664b93cae9f4bd5317afcd9c2af0bf<\/span>\u00a0<\/span> 053620962047f50a91c6e8d1a6519eccc41fab51473f033086b4d816abe8bcb0<\/span>\u00a0<\/span> \u00a0<\/span><\/td>\n<\/tr>\n
                                            SHA-256<\/span>\u00a0<\/span><\/td>\nMit Golang kompilierte Installationsvariante<\/span>\u00a0<\/span><\/td>\n11be4c47ff049322de41743f62544cafd32d67e24ad653b7ebedf8ebd63e0962\u2003\u2003<\/span>\u00a0<\/span> 1432393691b415d0cd4680d9cee73e60896fbe63300d9f0355c96e91817e4b1d\u2003\u2003<\/span>\u00a0<\/span><\/td>\n<\/tr>\n
                                            URL<\/span>\u00a0<\/span><\/td>\nPayload-\u00dcbertragung<\/span>\u00a0<\/span><\/td>\nhxxps:\/\/google-services[.]cc\/base[.]zip<\/span>\u00a0<\/span><\/td>\n<\/tr>\n
                                            Domain<\/span>\u00a0<\/span><\/td>\nCommand-and-Control (\u00fcber Smart Contract aufgel\u00f6st)<\/span>\u00a0<\/span><\/td>\ndevops-offensive[.]cc<\/span>\u00a0<\/span> Zebregts[.]com<\/span>\u00a0<\/span><\/td>\n<\/tr>\n
                                            BTC-Wallet<\/span>\u00a0<\/span><\/td>\nKryptow\u00e4hrungs-Wallet<\/span>\u00a0<\/span><\/td>\n3JvDBvKbS6YYMKjV3R9e9Zfd67f467fNLy<\/span>\u00a0<\/span> 1BbhVBxpniuZuAL1gGZnEMdQhmz9JGWpyT<\/span>\u00a0<\/span> 3AcPNVh7NyESwX3ECymy3rkdH4Ke2c26Tj<\/span>\u00a0<\/span> 1BVTrB47erypG3tevi1U9Fv6BbNUBEiuiX<\/span>\u00a0<\/span><\/td>\n<\/tr>\n
                                            Artefakt<\/span>\u00a0<\/span><\/td>\nSideloading-Ziel<\/span>\u00a0<\/span><\/td>\nSecure Preferences-Datei von Chromium (Chrome-, Edge-, Brave- und Opera-Profile)<\/span>\u00a0<\/span><\/td>\n<\/tr>\n
                                            Dateien der Erweiterung<\/span>\u00a0<\/span><\/td>\nmanifest.json<\/span> \u00a0<\/span> crypto-patterns.js<\/span>\u00a0<\/span> \u00a0<\/span> Interceptor.js<\/span>\u00a0<\/span> \u00a0<\/span> content-script.j<\/span> \u00a0<\/span> \u00a0<\/span> cache.js<\/span> \u00a0<\/span> \u00a0<\/span> domain-resolver.js<\/span>\u00a0<\/span> \u00a0<\/span> service-worker.js<\/span>\u00a0<\/span> \u00a0<\/span> api-client.js<\/span>\u00a0<\/span><\/td>\ned2599d6a8f30d5eaf14ad7f855aece0acdf7efa4a148eb18e4d9f0d8e2cd90c<\/span> \u00a0<\/span> daf82c67e8e5df6bbd5370172ac9374aa7dce48af05496e8ec3dba7b602c619b<\/span> \u00a0<\/span> 6eb2f07265dd95cacd39dfcf0705786b97f3e173cf4e9b3dfe7bad141c9a9dd5<\/span>\u00a0<\/span> \u00a0<\/span> a2ffdbedc5c9f5400a2b1cf5d35f5ec1df06a74d0345f1035bcf75d36ed73e01<\/span> \u00a0<\/span> \u00a0<\/span> eb84ba4a0cd95655a021865d4fec93ae3393f86cc9848810ed0b49035b1c5e2c<\/span> \u00a0<\/span> 6aaba685669d779ef8be8f7f4231096cfafd0ef386f3897c5e2106c177724fc8<\/span> \u00a0<\/span> \u00a0<\/span> 2599064901308a97540af29197ed0b38702bbee38d6dbbfa61cf9eb5878353f3<\/span> \u00a0<\/span> ab450927b37e1b68e2be68832c354ac600e86e2545a904d4ca0ea283f2600cc2<\/span> \u00a0<\/span> \u00a0<\/span><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

                                             <\/p>\n","protected":false},"excerpt":{"rendered":"

                                            Verfasst von Neil Tyagi Zusammenfassung\u00a0 McAfee+\u2122 Advanced Threat Research hat eine aktive Kampagne mit Browser-Erweiterungen identifiziert, bei der Wallet-Adressen kurz…<\/p>\n","protected":false},"author":695,"featured_media":209106,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[11944],"tags":[16946,16951,16947,16948,16949,16945,13117,12955,16950],"coauthors":[16762],"class_list":["post-232797","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-internet-security","tag-bedrohungsakteur","tag-bitcoin","tag-browser","tag-chromium","tag-erweiterung","tag-infektion","tag-kryptowahrung","tag-malware-de-de","tag-zwischenablage"],"acf":[],"yoast_head":"\nStill und heimlich ausgetauscht: Eine Kampagne mit "Crypto Clipper"-Erweiterung | McAfee-Blog<\/title>\n<meta name=\"description\" content=\"McAfee+\u2122 Advanced Threat Research hat eine aktive Kampagne mit Browser-Erweiterungen identifiziert, bei der Wallet-Adressen unbemerkt ersetzt werden, um Kryptow\u00e4hrung zu stehlen.\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<meta property=\"og:locale\" content=\"de_DE\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"Still und heimlich ausgetauscht: Eine Kampagne mit "Crypto Clipper"-Erweiterung | McAfee-Blog\" \/>\n<meta property=\"og:description\" content=\"McAfee+\u2122 Advanced Threat Research hat eine aktive Kampagne mit Browser-Erweiterungen identifiziert, bei der Wallet-Adressen unbemerkt ersetzt werden, um Kryptow\u00e4hrung zu stehlen.\" \/>\n<meta property=\"og:url\" content=\"https:\/\/www.mcafee.com\/blogs\/de-de\/internet-security\/krypto-clipper-wallet-austausch-browser-erweiterung-malware\/\" \/>\n<meta property=\"og:site_name\" content=\"McAfee-Blog\" \/>\n<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/McAfee\/\" \/>\n<meta property=\"article:author\" content=\"https:\/\/www.facebook.com\/McAfee\/\" \/>\n<meta property=\"article:published_time\" content=\"2026-07-08T11:01:18+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg\" \/>\n\t<meta property=\"og:image:width\" content=\"600\" \/>\n\t<meta property=\"og:image:height\" content=\"400\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/jpeg\" \/>\n<meta name=\"author\" content=\"McAfee Labs\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:creator\" content=\"@McAfee_Labs\" \/>\n<meta name=\"twitter:site\" content=\"@McAfee\" \/>\n<meta name=\"twitter:label1\" content=\"Written by\" \/>\n\t<meta name=\"twitter:data1\" content=\"McAfee Labs\" \/>\n\t<meta name=\"twitter:label2\" content=\"Est. reading time\" \/>\n\t<meta name=\"twitter:data2\" content=\"20 minutes\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\/\/schema.org\",\"@graph\":[{\"@type\":\"Article\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/de-de\/internet-security\/krypto-clipper-wallet-austausch-browser-erweiterung-malware\/#article\",\"isPartOf\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/de-de\/internet-security\/krypto-clipper-wallet-austausch-browser-erweiterung-malware\/\"},\"author\":{\"name\":\"McAfee Labs\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/de-de\/#\/schema\/person\/86f325fa6532a017d06d6b49a2f3b1ad\"},\"headline\":\"Still und heimlich ausgetauscht: Eine Kampagne mit “Crypto Clipper”-Erweiterung\",\"datePublished\":\"2026-07-08T11:01:18+00:00\",\"mainEntityOfPage\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/de-de\/internet-security\/krypto-clipper-wallet-austausch-browser-erweiterung-malware\/\"},\"wordCount\":4010,\"publisher\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/de-de\/#organization\"},\"image\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/de-de\/internet-security\/krypto-clipper-wallet-austausch-browser-erweiterung-malware\/#primaryimage\"},\"thumbnailUrl\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg\",\"keywords\":[\"Bedrohungsakteur\",\"Bitcoin\",\"Browser\",\"Chromium\",\"Erweiterung\",\"Infektion\",\"Kryptow\u00e4hrung\",\"malware\",\"Zwischenablage\"],\"articleSection\":[\"Internet-Sicherheit\"],\"inLanguage\":\"de-DE\"},{\"@type\":\"WebPage\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/de-de\/internet-security\/krypto-clipper-wallet-austausch-browser-erweiterung-malware\/\",\"url\":\"https:\/\/www.mcafee.com\/blogs\/de-de\/internet-security\/krypto-clipper-wallet-austausch-browser-erweiterung-malware\/\",\"name\":\"Still und heimlich ausgetauscht: Eine Kampagne mit \\\"Crypto Clipper\\\"-Erweiterung | McAfee-Blog\",\"isPartOf\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/de-de\/#website\"},\"primaryImageOfPage\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/de-de\/internet-security\/krypto-clipper-wallet-austausch-browser-erweiterung-malware\/#primaryimage\"},\"image\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/de-de\/internet-security\/krypto-clipper-wallet-austausch-browser-erweiterung-malware\/#primaryimage\"},\"thumbnailUrl\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg\",\"datePublished\":\"2026-07-08T11:01:18+00:00\",\"description\":\"McAfee+\u2122 Advanced Threat Research hat eine aktive Kampagne mit Browser-Erweiterungen identifiziert, bei der Wallet-Adressen unbemerkt ersetzt werden, um Kryptow\u00e4hrung zu stehlen.\",\"breadcrumb\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/de-de\/internet-security\/krypto-clipper-wallet-austausch-browser-erweiterung-malware\/#breadcrumb\"},\"inLanguage\":\"de-DE\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\/\/www.mcafee.com\/blogs\/de-de\/internet-security\/krypto-clipper-wallet-austausch-browser-erweiterung-malware\/\"]}]},{\"@type\":\"ImageObject\",\"inLanguage\":\"de-DE\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/de-de\/internet-security\/krypto-clipper-wallet-austausch-browser-erweiterung-malware\/#primaryimage\",\"url\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg\",\"contentUrl\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg\",\"width\":600,\"height\":400},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/de-de\/internet-security\/krypto-clipper-wallet-austausch-browser-erweiterung-malware\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Blog\",\"item\":\"https:\/\/www.mcafee.com\/blogs\/de-de\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"Internet-Sicherheit\",\"item\":\"https:\/\/www.mcafee.com\/blogs\/de-de\/internet-security\/\"},{\"@type\":\"ListItem\",\"position\":3,\"name\":\"Still und heimlich ausgetauscht: Eine Kampagne mit “Crypto Clipper”-Erweiterung\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/de-de\/#website\",\"url\":\"https:\/\/www.mcafee.com\/blogs\/de-de\/\",\"name\":\"McAfee Blog\",\"description\":\"News zum Thema Internetsicherheit\",\"publisher\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/de-de\/#organization\"},\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\/\/www.mcafee.com\/blogs\/de-de\/?s={search_term_string}\"},\"query-input\":{\"@type\":\"PropertyValueSpecification\",\"valueRequired\":true,\"valueName\":\"search_term_string\"}}],\"inLanguage\":\"de-DE\"},{\"@type\":\"Organization\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/de-de\/#organization\",\"name\":\"McAfee\",\"url\":\"https:\/\/www.mcafee.com\/blogs\/de-de\/\",\"logo\":{\"@type\":\"ImageObject\",\"inLanguage\":\"de-DE\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/de-de\/#\/schema\/logo\/image\/\",\"url\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2023\/02\/mcafee-logo.png\",\"contentUrl\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2023\/02\/mcafee-logo.png\",\"width\":1286,\"height\":336,\"caption\":\"McAfee\"},\"image\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/de-de\/#\/schema\/logo\/image\/\"},\"sameAs\":[\"https:\/\/www.facebook.com\/McAfee\/\",\"https:\/\/x.com\/McAfee\",\"https:\/\/www.linkedin.com\/company\/mcafee\/\",\"https:\/\/www.youtube.com\/McAfee\"]},{\"@type\":\"Person\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/de-de\/#\/schema\/person\/86f325fa6532a017d06d6b49a2f3b1ad\",\"name\":\"McAfee Labs\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"de-DE\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/de-de\/#\/schema\/person\/image\/af947d76ffbef8521094b476cf8050c3\",\"url\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2017\/07\/Social-Media-PF-Logo-Pic-300x300-2-96x96.jpg\",\"contentUrl\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2017\/07\/Social-Media-PF-Logo-Pic-300x300-2-96x96.jpg\",\"caption\":\"McAfee Labs\"},\"description\":\"McAfee Labs is one of the leading sources for threat research, threat intelligence, and cybersecurity thought leadership. See our blog posts below for more information.\",\"sameAs\":[\"https:\/\/www.linkedin.com\/company\/mcafee\/\",\"https:\/\/www.facebook.com\/McAfee\/\",\"https:\/\/x.com\/McAfee_Labs\"],\"url\":\"https:\/\/www.mcafee.com\/blogs\/de-de\/author\/mcafee-labs\/\"}]}<\/script>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"Still und heimlich ausgetauscht: Eine Kampagne mit \"Crypto Clipper\"-Erweiterung | McAfee-Blog","description":"McAfee+\u2122 Advanced Threat Research hat eine aktive Kampagne mit Browser-Erweiterungen identifiziert, bei der Wallet-Adressen unbemerkt ersetzt werden, um Kryptow\u00e4hrung zu stehlen.","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"og_locale":"de_DE","og_type":"article","og_title":"Still und heimlich ausgetauscht: Eine Kampagne mit \"Crypto Clipper\"-Erweiterung | McAfee-Blog","og_description":"McAfee+\u2122 Advanced Threat Research hat eine aktive Kampagne mit Browser-Erweiterungen identifiziert, bei der Wallet-Adressen unbemerkt ersetzt werden, um Kryptow\u00e4hrung zu stehlen.","og_url":"https:\/\/www.mcafee.com\/blogs\/de-de\/internet-security\/krypto-clipper-wallet-austausch-browser-erweiterung-malware\/","og_site_name":"McAfee-Blog","article_publisher":"https:\/\/www.facebook.com\/McAfee\/","article_author":"https:\/\/www.facebook.com\/McAfee\/","article_published_time":"2026-07-08T11:01:18+00:00","og_image":[{"width":600,"height":400,"url":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg","type":"image\/jpeg"}],"author":"McAfee Labs","twitter_card":"summary_large_image","twitter_creator":"@McAfee_Labs","twitter_site":"@McAfee","twitter_misc":{"Written by":"McAfee Labs","Est. reading time":"20 minutes"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/www.mcafee.com\/blogs\/de-de\/internet-security\/krypto-clipper-wallet-austausch-browser-erweiterung-malware\/#article","isPartOf":{"@id":"https:\/\/www.mcafee.com\/blogs\/de-de\/internet-security\/krypto-clipper-wallet-austausch-browser-erweiterung-malware\/"},"author":{"name":"McAfee Labs","@id":"https:\/\/www.mcafee.com\/blogs\/de-de\/#\/schema\/person\/86f325fa6532a017d06d6b49a2f3b1ad"},"headline":"Still und heimlich ausgetauscht: Eine Kampagne mit “Crypto Clipper”-Erweiterung","datePublished":"2026-07-08T11:01:18+00:00","mainEntityOfPage":{"@id":"https:\/\/www.mcafee.com\/blogs\/de-de\/internet-security\/krypto-clipper-wallet-austausch-browser-erweiterung-malware\/"},"wordCount":4010,"publisher":{"@id":"https:\/\/www.mcafee.com\/blogs\/de-de\/#organization"},"image":{"@id":"https:\/\/www.mcafee.com\/blogs\/de-de\/internet-security\/krypto-clipper-wallet-austausch-browser-erweiterung-malware\/#primaryimage"},"thumbnailUrl":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg","keywords":["Bedrohungsakteur","Bitcoin","Browser","Chromium","Erweiterung","Infektion","Kryptow\u00e4hrung","malware","Zwischenablage"],"articleSection":["Internet-Sicherheit"],"inLanguage":"de-DE"},{"@type":"WebPage","@id":"https:\/\/www.mcafee.com\/blogs\/de-de\/internet-security\/krypto-clipper-wallet-austausch-browser-erweiterung-malware\/","url":"https:\/\/www.mcafee.com\/blogs\/de-de\/internet-security\/krypto-clipper-wallet-austausch-browser-erweiterung-malware\/","name":"Still und heimlich ausgetauscht: Eine Kampagne mit \"Crypto Clipper\"-Erweiterung | McAfee-Blog","isPartOf":{"@id":"https:\/\/www.mcafee.com\/blogs\/de-de\/#website"},"primaryImageOfPage":{"@id":"https:\/\/www.mcafee.com\/blogs\/de-de\/internet-security\/krypto-clipper-wallet-austausch-browser-erweiterung-malware\/#primaryimage"},"image":{"@id":"https:\/\/www.mcafee.com\/blogs\/de-de\/internet-security\/krypto-clipper-wallet-austausch-browser-erweiterung-malware\/#primaryimage"},"thumbnailUrl":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg","datePublished":"2026-07-08T11:01:18+00:00","description":"McAfee+\u2122 Advanced Threat Research hat eine aktive Kampagne mit Browser-Erweiterungen identifiziert, bei der Wallet-Adressen unbemerkt ersetzt werden, um Kryptow\u00e4hrung zu stehlen.","breadcrumb":{"@id":"https:\/\/www.mcafee.com\/blogs\/de-de\/internet-security\/krypto-clipper-wallet-austausch-browser-erweiterung-malware\/#breadcrumb"},"inLanguage":"de-DE","potentialAction":[{"@type":"ReadAction","target":["https:\/\/www.mcafee.com\/blogs\/de-de\/internet-security\/krypto-clipper-wallet-austausch-browser-erweiterung-malware\/"]}]},{"@type":"ImageObject","inLanguage":"de-DE","@id":"https:\/\/www.mcafee.com\/blogs\/de-de\/internet-security\/krypto-clipper-wallet-austausch-browser-erweiterung-malware\/#primaryimage","url":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg","contentUrl":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg","width":600,"height":400},{"@type":"BreadcrumbList","@id":"https:\/\/www.mcafee.com\/blogs\/de-de\/internet-security\/krypto-clipper-wallet-austausch-browser-erweiterung-malware\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Blog","item":"https:\/\/www.mcafee.com\/blogs\/de-de\/"},{"@type":"ListItem","position":2,"name":"Internet-Sicherheit","item":"https:\/\/www.mcafee.com\/blogs\/de-de\/internet-security\/"},{"@type":"ListItem","position":3,"name":"Still und heimlich ausgetauscht: Eine Kampagne mit “Crypto Clipper”-Erweiterung"}]},{"@type":"WebSite","@id":"https:\/\/www.mcafee.com\/blogs\/de-de\/#website","url":"https:\/\/www.mcafee.com\/blogs\/de-de\/","name":"McAfee Blog","description":"News zum Thema Internetsicherheit","publisher":{"@id":"https:\/\/www.mcafee.com\/blogs\/de-de\/#organization"},"potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/www.mcafee.com\/blogs\/de-de\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"de-DE"},{"@type":"Organization","@id":"https:\/\/www.mcafee.com\/blogs\/de-de\/#organization","name":"McAfee","url":"https:\/\/www.mcafee.com\/blogs\/de-de\/","logo":{"@type":"ImageObject","inLanguage":"de-DE","@id":"https:\/\/www.mcafee.com\/blogs\/de-de\/#\/schema\/logo\/image\/","url":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2023\/02\/mcafee-logo.png","contentUrl":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2023\/02\/mcafee-logo.png","width":1286,"height":336,"caption":"McAfee"},"image":{"@id":"https:\/\/www.mcafee.com\/blogs\/de-de\/#\/schema\/logo\/image\/"},"sameAs":["https:\/\/www.facebook.com\/McAfee\/","https:\/\/x.com\/McAfee","https:\/\/www.linkedin.com\/company\/mcafee\/","https:\/\/www.youtube.com\/McAfee"]},{"@type":"Person","@id":"https:\/\/www.mcafee.com\/blogs\/de-de\/#\/schema\/person\/86f325fa6532a017d06d6b49a2f3b1ad","name":"McAfee Labs","image":{"@type":"ImageObject","inLanguage":"de-DE","@id":"https:\/\/www.mcafee.com\/blogs\/de-de\/#\/schema\/person\/image\/af947d76ffbef8521094b476cf8050c3","url":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2017\/07\/Social-Media-PF-Logo-Pic-300x300-2-96x96.jpg","contentUrl":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2017\/07\/Social-Media-PF-Logo-Pic-300x300-2-96x96.jpg","caption":"McAfee Labs"},"description":"McAfee Labs is one of the leading sources for threat research, threat intelligence, and cybersecurity thought leadership. See our blog posts below for more information.","sameAs":["https:\/\/www.linkedin.com\/company\/mcafee\/","https:\/\/www.facebook.com\/McAfee\/","https:\/\/x.com\/McAfee_Labs"],"url":"https:\/\/www.mcafee.com\/blogs\/de-de\/author\/mcafee-labs\/"}]}},"_links":{"self":[{"href":"https:\/\/www.mcafee.com\/blogs\/de-de\/wp-json\/wp\/v2\/posts\/232797","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.mcafee.com\/blogs\/de-de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.mcafee.com\/blogs\/de-de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.mcafee.com\/blogs\/de-de\/wp-json\/wp\/v2\/users\/695"}],"replies":[{"embeddable":true,"href":"https:\/\/www.mcafee.com\/blogs\/de-de\/wp-json\/wp\/v2\/comments?post=232797"}],"version-history":[{"count":7,"href":"https:\/\/www.mcafee.com\/blogs\/de-de\/wp-json\/wp\/v2\/posts\/232797\/revisions"}],"predecessor-version":[{"id":232811,"href":"https:\/\/www.mcafee.com\/blogs\/de-de\/wp-json\/wp\/v2\/posts\/232797\/revisions\/232811"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.mcafee.com\/blogs\/de-de\/wp-json\/wp\/v2\/media\/209106"}],"wp:attachment":[{"href":"https:\/\/www.mcafee.com\/blogs\/de-de\/wp-json\/wp\/v2\/media?parent=232797"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.mcafee.com\/blogs\/de-de\/wp-json\/wp\/v2\/categories?post=232797"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.mcafee.com\/blogs\/de-de\/wp-json\/wp\/v2\/tags?post=232797"},{"taxonomy":"author","embeddable":true,"href":"https:\/\/www.mcafee.com\/blogs\/de-de\/wp-json\/wp\/v2\/coauthors?post=232797"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}