Beliebter YouTube-Werbeblocker mit 11 Millionen Nutzern enthält versteckte Hintertür

Das Misstrauen der Sicherheitsexperten wird durch die Vergangenheit der Erweiterung verstärkt. Das Tool startete 2014 als kleines Projekt, wechselte aber um das Jahr 2018 den Besitzer und den grundlegenden Code. In den darauffolgenden Jahren wuchs die Nutzerbasis rapide an.

Einige Details aus der Historie der Erweiterung (entwickelt von der AdBlock Ltd. mit Sitz auf Malta) mahnen zur Vorsicht:

Der aktuelle Anbieter hat sich inzwischen zu den Vorwürfen geäußert. Gegenüber Medienvertretern betonte ein Sprecher der AdBlock Ltd., dass die beanstandete Funktion nie missbraucht worden sei und dies auch für die Zukunft ausgeschlossen werde.

Zur Erklärung der Architektur verwies das Unternehmen darauf, dass das Scriptlet trusted-create-element Teil der Open-Source-Bibliothek von AdGuard sei, die von zahlreichen Werbeblockern verwendet wird. Man räumte jedoch die strukturellen Risiken ein und kündigte ein sofortiges Update an. Dieses soll zwei wesentliche Änderungen beinhalten:

• Die URL-Prüfung wird so verschärft, dass zwingend youtube.com als Hostname validiert wird.
• Die Möglichkeit, ausführbaren Code über die Server-Konfiguration einzuschleusen, wird komplett entfernt.

Das Update wurde bereits bei Google zur Überprüfung eingereicht.

Auch wenn aktuell kein akuter Missbrauch nachgewiesen wurde, stellt „Adblock for YouTube“ in seiner aktuellen Form ein nicht vertretbares Risiko dar – insbesondere für Nutzer, die den Browser auch für geschäftliche Zwecke, Online-Banking oder den Zugriff auf sensible Konten nutzen.

Privatanwender sollten die Erweiterung vorsichtshalber deinstallieren, bis das angekündigte Sicherheits-Update von Google freigegeben und von unabhängigen Forschern validiert wurde. Für Unternehmensnetzwerke raten Sicherheitsexperten dringend dazu, die Erweiterung (ID: cmedhionkhpnakcndndgjdbohmhepckk) per MDM- oder Gruppenrichtlinie global zu sperren. Als sichere und transparente Alternative bietet sich etwa das quelloffene uBlock Origin Lite an, das nach den neuen Manifest-V3-Standards von Google arbeitet.