Extensions de navigateur malveillantes : le drain discret d'identifiants dans le web store
Une extension de navigateur bénéficie de plus de confiance que presque tout autre logiciel qu'un utilisateur installe. Elle obtient une place permanente au sein de la session, souvent avec l'autorisation de lire et de modifier les données de chaque site visité. C'est précisément cette confiance que monétisent les auteurs d'extensions malveillantes, et une série de campagnes documentées montre comment des fiches de boutique en apparence ordinaires travaillent en silence comme des drains à identifiants.
Ce qu'une extension peut atteindre
La portée est fixée par les autorisations que l'utilisateur accorde. Les chercheurs de Kaspersky dressent la liste : cookies, mots de passe et données de cartes bancaires extraits des formulaires web, contenus du presse-papiers, captures d'écran, même des frappes clavier enregistrées comme un keylogger. Des campagnes réelles correspondent à cette liste. Socket, une société de sécurité de la chaîne d'approvisionnement, a documenté plus de 100 extensions malveillantes sur le Chrome Web Store en avril 2026 ; 54 d'entre elles utilisaient l'appel chrome.identity.getAuthToken pour récolter des jetons porteurs OAuth2 de Google, qui permettent à l'opérateur d'agir en tant qu'utilisateur, et une extension extrayait les données de session de Telegram Web du stockage local toutes les quinze secondes et pouvait écraser la session de la victime avec des données fournies par l'attaquant. Une seconde fiche qui a survécu des années : en décembre 2025, BleepingComputer a rapporté deux extensions du Chrome Web Store nommées Phantom Shuttle, vendues entre 1,4 et 13,6 dollars comme outils de test de proxy pour des utilisateurs en Chine et actives au moins depuis 2017. Les extensions redirigeaient plus de 170 domaines de grande valeur via des proxys contrôlés par l'attaquant et, agissant comme un intermédiaire (man-in-the-middle), capturaient les soumissions de formulaires, lisaient les cookies de session dans les en-têtes HTTP et extrayaient des jetons d'API. Toutes deux étaient toujours référencées au moment de la publication du rapport. Fiches de boutique et loaders qui les contournent
L'ampleur n'est pas marginale. Selon le résumé de Kaspersky des données de 2020, Google a retiré 106 extensions Chrome volant des données, totalisant 32 millions de téléchargements, touchant des réseaux de la finance, du pétrole et du gaz, de la santé et du secteur public. La campagne de Socket montre que le format est toujours actif : les extensions se cachaient derrière cinq identités d'éditeur et des catégories allant des clients Telegram aux jeux de hasard et aux améliorations vidéo, et 45 d'entre elles contenaient une fonction de démarrage cachée qui récupérait des commandes depuis une infrastructure d'attaquant. Toute extension malveillante ne passe pas même par une revue de boutique. Le rapport de novembre 2023 de Trend Micro sur ParaSiteSnatcher a documenté un framework modulaire et fortement obfusqué, livré par un downloader VBScript hébergé sur Dropbox et Google Cloud. Après avoir enregistré la victime et récupéré des URL de commandement et contrôle obfusquées, l'installateur supprimait les raccourcis du navigateur et en créait de nouveaux qui chargent l'extension, assurant la persistance. L'extension interceptait les requêtes POST contenant des données de compte avant qu'elles ne quittent le navigateur, surveillait les soldes, manipulait des transactions PIX dans des banques brésiliennes et volait des cookies, notamment des cookies Microsoft live.com utilisables pour des attaques pass-the-cookie contre des comptes cloud. La faille de revue : l'approbation couvre l'envoi, pas l'avenir
La revue de boutique examine le paquet qu'un développeur envoie. Elle ne peut pas examiner ce que la même extension fera des mois plus tard. Kaspersky note que les extensions se mettent à jour automatiquement, si bien qu'un module légitime peut devenir malveillant après coup : l'extension Particle a été vendue puis mise à jour pour injecter de la publicité, atteignant plus de 30 000 utilisateurs avant d'être stoppée. Le code hébergé à distance pousse cela plus loin, car un paquet qui va chercher sa logique réelle sur un serveur à l'exécution est, en pratique, impossible à examiner. Manifest V3 est la réponse structurelle de Google : les extensions doivent regrouper tout le code qu'elles exécutent dans le paquet examiné, et le code hébergé à distance, JavaScript ou WebAssembly chargé depuis l'extérieur, est refusé, y compris les chemins de code morts susceptibles de le charger. La justification est précisément le problème post-approbation : du code qui peut changer après la revue annule la revue. Les exceptions sont étroites : gestionnaires de user scripts, interface de débogage et iframes isolés. La constatation de Socket que 45 extensions récupéraient des commandes à l'exécution depuis un serveur central montre le comportement que la règle vise, et pourquoi les contrôles de la fiche seuls le manquent. Défense pratique
La routine est peu reluisante. Auditez périodiquement la liste des extensions installées et supprimez tout ce qui n'est pas reconnu ou utilisé ; Socket a publié les identifiants d'extensions de sa campagne afin que les utilisateurs puissent comparer leur propre liste à des entrées connues comme malveillantes. Gardez le total bas, car chaque installation est une autorisation permanente qui se renouvelle en silence. Traitez l'accumulation de permissions comme un signal d'alerte ; l'exemple de Kaspersky est une calculatrice demandant la géolocalisation ou l'historique de navigation. Préférez les extensions à éditeur stable et au jeu d'autorisation petit et explicable à ce qui arrive en tête des résultats de la boutique. Compartimentez : un profil de navigateur séparé pour la banque et l'administration des comptes limite ce qu'un seul module peut atteindre, et la même logique pousse les entreprises à bloquer ou à imposer les extensions de boutique sur les appareils gérés. L'enjeu, c'est la session authentifiée, la même cible que poursuivent les chevaux de Troie bancaires mobiles comme ToxicPanda, approchée depuis l'intérieur du navigateur plutôt que par une superposition à l'écran. Une extension demande moins d'attention qu'un courriel de phishing et, pour l'opérateur, rapporte comparablement. Les campagnes documentées diffèrent dans le mode de livraison, fiche de boutique, mise à jour automatique, dropper et raccourci, mais partagent la forme : obtenir la fiche, gagner la confiance, attendre, puis drainer les identifiants depuis une position que l'utilisateur ne voit jamais.
