Hola Browser ramt af supply chain-angreb: Kryptominer gemt i Windows-installationsfil

Et rutinemæssigt certificeringstjek i juni 2026 løftede sløret for et sofistikeret supply chain-angreb rettet mod brugere af Hola Browser til Windows. Sikkerhedsforskere fra Sophos X-Ops opdagede en ikke-deklareret eksekverbar fil, me.exe, som var bundlet med den officielle installationsfil. Filen var ikke en harmløs forglemmelse – det var en kryptominer baseret på XMRig, designet til i al hemmelighed at udvinde Monero på ofrenes maskiner .

Opdagelsen blev gjort under en AppEsteem-certificeringstest af Hola Browser version 1.251.91.0, og den vakte straks alarm, fordi den skadelige fil ikke var en del af browserens godkendte programpakke. Sophos vurderede hændelsen som et "distribution-pipeline compromise", hvilket betyder, at en angriber havde sprøjtet skadevaren ind i bygge- eller pakkeprocessen, efter den legitime kode var skrevet. Uafhængige efterforskere fra Sygnia bekræftede senere denne vurdering .

Sådan opererede den lydløse miner

XMRig-payloaden var bygget til at være snedig. I modsætning til aggressiv malware, der annoncerer sin tilstedeværelse med ydelsesproblemer, var denne miner konfigureret til kun at køre, når værtscomputeren var inaktiv. Det minimerede risikoen for, at brugeren opdagede den .

Når først den var installeret, etablerede malwaren sig permanent gennem en række bevidste handlinger:

• Filplacering: Mineren kopierede sig selv til

  C:\Program Files\Hola\HolaMonitorService.exe

  – en sti og et filnavn, der var designet til at fremstå som en legitim browserovervågningskomponent .
• Oprettelse af tjeneste: Den oprettede en Windows-tjeneste kaldet hola_monitor_svc og konfigurerede den med starttypen 0x00000002, hvilket sikrede, at den startede automatisk, hver gang systemet bootede .
• Undvigelse af Defender: For at omgå indbyggede antivirusscanninger tilføjede malwaren en undtagelsessti til Windows Defender .
• Sløring og anonymitet: Den binære fil me.exe var usigneret, obfuskeret og manglede et gyldigt tidsstempel. Sikkerhedsforskere bemærkede, at selve filnavnet syntes valgt for sin anonyme fremtoning, så det kunne flyde sammen med legitime processer .

En lille, men alvorlig angrebsflade

Omfanget af kompromitteringen var relativt snævert. Sophos estimerede, at cirka 0,1 % af Hola Browsers brugere var berørt . Selvom det er en lille del af brugerbasen, repræsenterer hændelsen et skoleeksempel på et supply chain-angreb: en betroet softwarekanal blev vendt mod sine egne brugere og omgik den normale sikkerhedskontrol, som brugerne forventer af officielle installationsfiler.

Angrebet var ikke et brud på Holas kildekode. I stedet understregede det sårbarheden i softwarens bygge- og udgivelsespipeline – en påmindelse om, at selv når udviklere skriver ren kode, kan et kompromis under kompilering, pakning eller distribution forgifte det endelige produkt .

Hvordan Hola reagerede

Da Sophos X-Ops rapporterede fundet, greb Hola hurtigt ind for at inddæmme truslen og forhindre gentagelse. Virksomhedens skridt omfattede:

• Genopbygning af distributionspipelinen fra bunden for at fjerne enhver resterende angriberadgang .
• Implementering af kodesignaturverifikation for at blokere usignerede og uautoriserede binære filer i at slippe igennem byggeprocessen .
• Indførelse af strengere adgangskontroller og løbende overvågning af deres distributionsinfrastruktur .

På trods af disse tiltag står kritiske spørgsmål, pr. den offentlige offentliggørelse den 4. juni 2026, stadig ubesvarede. Hola har ikke offentliggjort angrebsvektoren – hvordan pipelinen først blev brudt – identiteten på trusselsaktøren eller varigheden af deres adgang. Hele det retsmedicinske billede forbliver lukket for offentligheden, et hul der efterlader både brugere og sikkerhedsbranchen med en advarselshistorie, men en ufuldstændig forståelse af truslen .