Tous ceux qui ont l’air inoffensifs ne le sont pas toujours. Ces extensions Chrome et Edge l’ont par exemple été uniquement pour gagner la confiance de ses utilisateurs. Puis une simple mise à jour a montré leur vrai visage.
Elles sont 19, 18 pour Chrome et 1 pour Edge. Et toutes impliquées dans une campagne qui remonterait à 2024. 14 d’entre elles avaient été développées directement par les attaquants.
Les cinq autres avaient été rachetées à leurs développeurs d’origine avant d’être transformées en extensions malveillantes. Nous devons leur découverte à Socket.
Des extensions bien sages… jusqu’au moment où elles ne le sont plus
Si vous vous demandez, une extension installée depuis plusieurs mois peut-elle donc devenir dangereuse du jour au lendemain ? Malheureusement, la réponse est oui.
Laissant leurs extensions fonctionner normalement pendant un certain temps, c’est justement la technique des cybercriminels. Cela leur permet de ne pas partir de zéro. Ils auront un joli petit public avant même de commencer leur opération.
Prenons « Enable Right Click & Copy — Smart Unlock + OCR » par exemple. Lorsque le code malveillant a été ajouté, l’extension comptait environ 70 000 installations sur Chrome. Elle disposait également d’environ 10 000 utilisateurs sur Edge.
La méthode n’est d’ailleurs pas totalement nouvelle. Fin 2025, il y a eu la campagne ShadyPanda. Celle-ci avait déjà montré comment des extensions Chromium pouvaient rester propres suffisamment longtemps pour gagner la confiance des internautes.
Une mise à jour ultérieure permettait ensuite d’y ajouter des fonctions malveillantes. Exactement comme le cas de la campagne étudiée par Socket.
Que se passe-t-il une fois les mises à jour installées ?
Après l’installation de la version compromise, les choses deviennent, disons, moins amusantes. L’extension établissait une connexion chiffrée avec les serveurs contrôlés par les attaquants.
Ceux-ci pouvaient ensuite lui envoyer différents modules JavaScript selon leurs besoins. Les chercheurs de Socket en ont identifié 16. La plupart étaient conçus pour récupérer des données ou s’attaquer aux cryptomonnaies.
Certains modules pouvaient notamment modifier les boutons utilisés pour se connecter à des services ou effectuer des échanges avec des portefeuilles. D’autres étaient capables d’afficher de fausses pages imitant celles de Ledger ou Trezor, deux noms bien connus des utilisateurs de cryptomonnaies.
Le malware pouvait également récupérer des sessions déjà ouvertes sur Coinbase, Binance, Kraken ou MetaMask. Il pouvait encore enregistrer des identifiants et récupérer l’historique de navigation.
Et les attaquants ne se sont visiblement pas arrêtés là. Le code pouvait aussi modifier directement les pages consultées en désactivant leur Content Security Policy, ou CSP.
Cette protection sert notamment à limiter les scripts qu’un site peut charger et exécuter. Une fois cette barrière neutralisée, les attaquants pouvaient injecter leur propre code dans les pages.
Cela permettait notamment d’afficher de fausses alertes demandant une mise à jour du navigateur. Le piège s’inspirait de la technique ClickFix, qui pousse la victime à exécuter elle-même une commande malveillante.
Les 19 extensions Chrome et Edge en question
Socket a fourni la liste complète ci-après dans son rapport :
- Enable Right Click & Copy — Smart Unlock + OCR — Chrome
- RapidLens – Google Lens for Screen Search & Images — Chrome
- QuickLens – Search Screen with Google Lens — Chrome
- Password Protect PDF — Chrome
- Allow Copy – Select & Enable Right Click — Edge
- PixelCheck — Chrome
- Creative Library – Ad Spy Tool — Chrome
- Website Traffic Checker: MirrorSphere SEO Stats — Chrome
- Site Signal – Website Traffic & SEO Checker — Chrome
- SEO Pulse Pro – Website Traffic & SEO Analyzer — Chrome
- Private Crypto News Reader — Chrome
- Blockfolio: Address Monitor — Chrome
- Crypto Rates & Fiat Converter — Chrome
- Crypto Alerter: Price Alarms & Volatility Warnings — Chrome
- DeFi Pulse Tracker — Chrome
- Crypto Price Badge: Quick Glance — Chrome
- Multi-Chain Explorer — Chrome
- LedgerLook: Wallet Checker — Chrome
- Meta & Facebook Ad Library Spy — Save Ads, Finder, Downloader | FeedX-Ray — Chrome
Au moment de sa publication, les versions malveillantes disponibles sur Chrome avaient été retirées du Chrome Web Store. De même sur Edge. Malgré cela, la prudence est de mise.
Comment se protéger ?
Si l’une des extensions concernées est encore présente dans votre navigateur, première étape : supprimez-la.
Mais attention, le simple fait de cliquer sur « Désinstaller » ne suffit pas forcément. Si l’extension a déjà récupéré certaines informations, le mal peut être fait.
Les mots de passe utilisés pendant la période où l’extension était compromise doivent donc être changés. Il est également recommandé de fermer toutes les sessions actives lorsque le service propose cette option.
Pourquoi cette précaution ? Parce que le malware pouvait récupérer des jetons de session. Ces petits morceaux de données peuvent permettre d’accéder à un compte déjà authentifié sans avoir besoin de connaître son mot de passe.
Pour les portefeuilles de cryptomonnaies, la situation demande encore davantage de prudence. Si vous avez entré une phrase de récupération alors que l’extension compromise était active, mieux vaut considérer cette phrase comme exposée.
La solution consiste à créer un nouveau portefeuille avec une nouvelle phrase de récupération. Puis à transférer les fonds encore présents sur l’ancien.
Et si votre portefeuille a été connecté à un site pendant cette période, prenez également le temps de vérifier les autorisations accordées. Toute permission suspecte ou inconnue doit être révoquée.
- Partager l'article :
