Désinstallez vite ces 108 extensions Chrome, ce sont de dangereux malwares russes

Une vaste campagne malveillante vient d’être découverte sur le Chrome Web Store, la boutique d’extensions officielle de Google Chrome. Les chercheurs de la société de sécurité Socket ont en effet identifié 108 extensions frauduleuses sur la plateforme. Toutes les extensions épinglées font partie d’une même campagne coordonnée. Son but : voler des données et permettre aux cybercriminels de prendre le contrôle de vos comptes en ligne. Les extensions « totalisent environ 20 000 installations sur le Chrome Web Store ».

Les extensions se présentent comme des solutions légitimes, telles que des jeux de casino, des assistants YouTube ou TikTok, des clients Telegram, ou des traducteurs. Pour éviter d’éveiller les soupçons des cibles, les extensions fonctionnent tout à fait normalement, du moins en apparence. Une fois installées sur Chrome, elles vont en effet offrir toutes les fonctionnalités prévues, ce qui va contribuer à endormir la méfiance de l’internaute. Certaines de ces extensions bénéficient même de bonnes notes, ou de notes moyennes, sur le Chrome Web Store. Elles ont été publiées par le biais de cinq noms de développeurs différents.

À lire aussi : Mise à jour d’urgence chez Google – 8 nouvelles failles de Chrome mettent en danger le navigateur

Vol de données, piratages de comptes, et injections de code

Plusieurs des extensions analysées s’activent automatiquement au lancement du navigateur, sans nécessiter d’interaction de l’utilisateur. Grâce à une fonction cachée, elles vont recevoir des instructions de la part des cybercriminels par le biais de serveurs informatiques à distance. C’est comme ça que les extensions sauront précisément ce qu’elles doivent faire.

En coulisses, les extensions vont récupérer des jetons d’authentification Google. Ces jetons servent à connecter des services tiers à un compte Google sans avoir forcément besoin du mot de passe. Grâce à ces jetons volés, l’attaquant peut accéder à Gmail, Google Drive, ou d’autres services liés au compte Google en se faisant passer pour l’utilisateur. Dans les détails, « 54 extensions volent l’identité du compte Google de l’utilisateur la première fois qu’il clique sur le bouton de connexion ».

Certaines des extensions épinglées par Socket vont jusqu’à injecter du code HTML malveillant directement sur les pages web visitées par l’internaute. Ce code est taillé pour modifier l’affichage du site, rediriger l’utilisateur sur des plateformes piégées ou analyser en temps réel tout ce qu’il fait sur Chrome. Parmi les autres fonctionnalités des extensions, on trouve l’affichage de publicités, l’extraction d’autres données ou l’exécution de scripts. L’adresse e-mail, le nom, la photo de profil et l’identifiant du compte Google font partie des informations les plus prisées par les hackers.

Dans certains cas, ces extensions peuvent remplacer les sessions des services en ligne, comme Telegram Web, en se servant des données de connexion stockées dans le navigateur, comme les cookies. De facto, le pirate peut afficher un compte factice, sous son contrôle, à la place de celui de l’utilisateur. Cette astuce permet évidemment de détourner des identifiants et des mots de passe.

A lire aussi : Une cyberattaque « discrète » vise Chrome – un virus a trouvé le moyen de voler la clé de vos données

La liste des extensions à désinstaller d’urgence

Comme l’expliquent les chercheurs, tout porte à croire que l’opération est liée à un malware russe disponible par le biais d’un abonnement de type malware-as-a-service (MaaS). Plusieurs indices pointent vers une infrastructure détenue par des cybercriminels russes. On trouve notamment des commentaires écrits en russe dans le code des extensions.

Les chercheurs de Socket ont signalé officiellement cette campagne à Google, en fournissant les identifiants exacts des extensions concernées et des preuves de leurs méfaits. Malgré ces signalements, plusieurs des extensions restent disponibles sur le Chrome Web Store. Sans surprise, les experts recommandent de désinstaller toutes les extensions identifiées par leurs soins. Sans plus attendre, voici la liste complète des 108 extensions à supprimer de votre navigateur :

Ensuite, les internautes sont invités à vérifier si leurs comptes en ligne n’ont pas été compromis, et changer leurs mots de passe. Plus globalement, Socket conseille chaudement aux utilisateurs de désinstaller les extensions peu utilisées, notamment celles qui demandent beaucoup d’autorisations. Enfin, prenez le temps d’activer la double authentification sur tous vos comptes et prenez l’habitude de limiter le nombre d’extensions installées sur Chrome. Vous réduirez ainsi facilement votre surface d’attaque.

👉🏻 Suivez l’actualité tech en temps réel : ajoutez 01net à vos sources sur Google, et abonnez-vous à notre canal WhatsApp.

Source : Socket