Des pirates ciblent des dizaines d’extensions VPN et IA pour Google Chrome

Les chercheurs en cybersécurité ont révélé que 36 extensions Google Chrome, principalement liées à des outils d’intelligence artificielle et à des réseaux privés virtuels (VPN), ont été infectées par du code malveillant. Plus de 2,6 millions d’utilisateurs seraient concernés. Ces attaques, selon les premières investigations, impliquent des mises à jour frauduleuses ciblant plusieurs éditeurs légitimes.

Une enquête récente, menée par la plateforme ExtensionTotal, met en lumière un nouveau mode d’opération des cybercriminels cherchant à exploiter la popularité de certaines extensions Google Chrome pour dérober des informations confidentielles. D’après les rapports, près de 36 extensions infectées ont été identifiées, visant notamment des services en lien avec l’IA (ChatGPT pour Google Meet, Bard AI Chat, YesCaptcha Assistant) ou avec des solutions VPN (VPNCity, Internxt VPN). Les pirates auraient profité de failles dans la chaîne de publication et d’approbation des extensions pour y insérer du code malveillant, et ce de façon quasi imperceptible pour les utilisateurs comme pour les développeurs légitimes. L’incident fait suite à la compromission de l’entreprise Cyberhaven, dont un compte administrateur a été piraté [info stealer, encore !]. Les pirates ont ainsi pu publier une version piégée de son extension Chrome.

Infiltre moi, si tu peux !

Les récentes découvertes concernant la compromission de plusieurs dizaines d’extensions pour Google Chrome mettent en exergue un enjeu majeur de la sécurité informatique moderne. Le navigateur web, présent sur la quasi-totalité des plateformes (ordinateurs fixes, ordinateurs portables, smartphones, tablettes), centralise un nombre croissant de services, d’identifiants et de fonctions essentielles au quotidien. Les utilisateurs, pour optimiser ou personnaliser leur navigation, installent des extensions qui offrent des fonctionnalités additionnelles, que ce soit en matière de productivité, de divertissement ou de sécurité. Cependant, cette flexibilité, censée améliorer l’expérience de navigation, s’est transformée en un point d’entrée efficace pour les cybercriminels.

D’une manière générale, l’installation et la gestion des extensions se font via le Chrome Web Store, un portail officiel où les développeurs déposent et mettent à jour leurs programmes. Dans un scénario idéal, Google valide ou invalide les propositions de mise en ligne, s’assurant ainsi que seules des extensions fiables soient distribuées au public. Or, les événements de ces derniers mois montrent que ce contrôle n’est ni infaillible ni suffisant. Les pirates se focalisent sur des extensions populaires, déjà largement diffusées, afin de tirer profit d’une base d’utilisateurs importante. Leur objectif est de modifier le code initial, afin de le transformer en un cheval de Troie capable de collecter des données ou d’exécuter des actions malveillantes.

Phishing, stealing and cracking

L’attaque ciblant Cyberhaven illustre parfaitement ce stratagème. Les opérateurs malveillants ont, dans un premier temps, initié une campagne de phishing afin de s’emparer d’un compte administratif de la société. Le prétexte évoqué pour pousser Cyberhaven à réagir consistait à prétendre que son extension violait les politiques de Google et risquait d’être supprimée du Chrome Web Store. Cette ruse a débouché sur l’obtention des identifiants nécessaires, permettant aux cybercriminels de déployer une mise à jour corrompue de l’extension légitime. Les utilisateurs, faisant confiance à la marque ou simplement assurés de l’authenticité du contenu, n’ont pas suspecté la modification. Une fois installée ou mise à jour automatiquement, l’extension compromise a commencé son travail de vol de données.

Les motivations derrière ces attaques sont multiples. Dans le cas de Cyberhaven, les chercheurs ont découvert que le code malveillant visait principalement des informations liées à Facebook Ads : identifiants, jetons d’accès et données relatives à la gestion de campagnes publicitaires. Cette information illustre un intérêt pour des comptes à forte valeur financière, susceptibles de conduire à l’exfiltration de fonds ou à la réalisation d’actions frauduleuses sous l’identité de la victime. D’autres extensions, ciblant des utilisateurs de VPN ou d’outils d’IA, pourraient avoir des finalités semblables : aspiration de mots de passe, vols d’informations sensibles ou encore redirection vers des plateformes de phishing.

Le phénomène en lui-même n’est pas nouveau. Depuis plusieurs années, des alertes ont mis en évidence la fragilité du modèle de distribution des extensions, lequel repose essentiellement sur la bonne foi des développeurs et un certain niveau de contrôle automatisé. Toutefois, la sophistication grandissante des menaces, couplée à la popularité de certaines solutions, met en lumière l’ampleur des risques encourus. Les extensions d’IA, par exemple, sont de plus en plus prisées pour offrir des services variés (traduction, synthèse vocale, génération de texte, etc.). Ainsi, l’adoption rapide de ces outils, parfois créés par des développeurs peu expérimentés ou n’ayant pas les moyens de mettre en place des systèmes de vérification robustes, en fait une cible de choix pour les bad hacker.

Par ailleurs, les VPN (Virtual Private Networks) représentent un volet majeur de la sécurité et de la confidentialité en ligne. Les utilisateurs faisant confiance à ces services s’attendent à ce que leurs données de navigation soient protégées, anonymisées et non interceptées. Or, lorsqu’une extension censée fournir ces garanties est infiltrée par du code malveillant, la situation devient paradoxale : en installant un service de protection, l’utilisateur s’expose en réalité à une fuite de données, voire à un contrôle partiel de ses actions en ligne. Le détournement de ces extensions, combiné à leur popularité, permet aux criminels de toucher un grand nombre de cibles et d’exfiltrer des informations potentiellement critiques.

Injection pirate, mode d’emploi

Les mécanismes techniques utilisés pour injecter du code malveillant varient d’une attaque à l’autre. Dans certains cas, les pirates insèrent simplement un script obfusqué, chargé depuis un serveur distant, qui leur permet de collecter des cookies, des jetons d’accès ou des informations sur la session en cours. Dans d’autres scénarios, l’intégralité de l’extension est restructurée pour opérer des redirections web ou afficher des fenêtres contextuelles incitant les utilisateurs à saisir leurs identifiants sur des sites imitant des portails légitimes. Dans tous les cas, la finalité est toujours la même : récupérer des données qui, revendues sur des marchés clandestins ou exploitées en direct, génèrent des revenus illicites.

L’ampleur de la campagne découverte indique que ces opérations de compromis pourraient ne pas se limiter à un seul groupe de menaces. Il est possible que plusieurs acteurs utilisent la même méthode, c’est-à-dire l’appropriation frauduleuse de comptes développeurs, pour propager leur code malveillant. Les chiffres évoqués (36 extensions touchées, 2,6 millions d’utilisateurs potentiellement affectés) laissent penser que le phénomène est significatif, sans être nécessairement centralisé. Il demeure difficile, pour l’instant, de confirmer un unique groupe pirate derrière toutes les infections, bien que certaines similarités — notamment l’emploi de l’hameçonnage et de stealer info — suggèrent une connexion ou, au moins, une imitation du modèle d’attaque.

Les extensions bénéficient d’autorisations importantes dans le navigateur. Elles ont, dans nombre de cas, un accès direct aux sessions authentifiées de l’utilisateur sur différents sites, y compris des plateformes bancaires ou des outils internes à l’entreprise. Une fois qu’une extension est mise à jour automatiquement, l’utilisateur n’a généralement aucun moyen simple de déceler la présence de code malveillant. L’interface de Chrome n’indique pas en détail les évolutions apportées par une mise à jour, sauf à consulter manuellement la documentation du développeur (lorsqu’elle est disponible et fiable).

C’est dans cette optique que de plus en plus de voix s’élèvent pour réclamer une forme de contrôle renforcé ou d’audit régulier des extensions, en particulier lorsqu’elles proviennent d’auteurs tiers inconnus ou traitent des données sensibles. La complexité du modèle économique — avec des extensions parfois développées bénévolement, puis vendues à des groupes tiers — ajoute encore une couche de difficulté. En effet, un développeur honnête peut céder son produit à un acheteur malintentionné qui, par la suite, insère du code malveillant et profite de la réputation déjà établie par l’extension.

Dans le passé, Google est intervenu à maintes reprises pour retirer du Chrome Web Store des extensions suspectes ou confirmées comme malveillantes. Cependant, les événements récents prouvent que ce mécanisme de réaction n’est pas suffisant pour endiguer rapidement les infections, surtout quand les attaquants ciblent des éditeurs légitimes et introduisent furtivement leurs modifications. L’absence de réaction officielle immédiate de la part de Google, ou du moins de communication publique étendue, renforce l’idée qu’il faudra du temps pour mesurer l’étendue réelle des dommages et mettre en place des mesures préventives à grande échelle.

Impacts, réponses et perspectives

Les conséquences liées à ces attaques multiples sur les extensions Chrome sont potentiellement graves et touchent un large éventail d’acteurs. Du côté des utilisateurs finaux, la compromission de sessions web peut mener à des vols d’identifiants, des fraudes financières ou encore à la collecte de données personnelles. Pour un particulier, la mise en danger de comptes de messagerie, de réseaux sociaux ou d’applications bancaires peut avoir un impact direct sur sa vie quotidienne et son intégrité financière. Pour une entreprise, cela peut signifier l’accès non autorisé à des informations confidentielles, la compromission de comptes publicitaires — comme observé avec Facebook Ads — ou la fuite de secrets industriels.

Les conséquences pour les développeurs ou les sociétés éditant ces extensions sont tout aussi lourdes. Une fois que la réputation d’une marque est entachée par un incident de sécurité, regagner la confiance des utilisateurs peut s’avérer long et complexe. Pour les start-ups et les petites structures, un tel revers peut se traduire par une perte de crédibilité aux yeux des investisseurs et des clients, impactant directement les perspectives de développement. L’exemple de Cyberhaven en témoigne, la société devant désormais démontrer sa capacité à sécuriser ses accès administratifs et à prévenir de futures intrusions. Il en va de même pour d’autres éditeurs touchés, qui doivent réagir sans délai pour retirer les versions vérolées de leurs extensions et rassurer leurs communautés.

Cependant, la réalité est plus nuancée. Google gère un écosystème d’extensions extrêmement vaste, impliquant des milliers de nouveaux dépôts, mises à jour et retours d’utilisateurs au quotidien. Mettre en place un contrôle systématique complet exigerait d’énormes ressources humaines et techniques. De plus, les pirates perfectionnent en permanence leurs méthodes d’obfuscation, rendant la détection de leurs scripts toujours plus difficile. La question du coût et de la faisabilité d’une telle surveillance demeure donc ouverte, tout comme celle de la responsabilité légale en cas de faillite du système de contrôle.

L’aspect juridique, justement, constitue un autre pan de ce dossier. Les victimes, qu’il s’agisse d’utilisateurs particuliers, d’entreprises ou de développeurs, pourraient se tourner vers des actions en justice si elles estiment que Google, ou les éditeurs d’extensions, n’ont pas rempli leurs obligations en matière de protection des données. Aux États-Unis, des lois comme le Computer Fraud and Abuse Act (CFAA) encadrent la recherche et la dénonciation de vulnérabilités, alors que des textes relatifs à la confidentialité et à la protection des consommateurs (notamment le California Consumer Privacy Act, CCPA) pourraient s’appliquer si des données d’utilisateurs californiens sont compromises. En Europe, le Règlement général sur la protection des données (RGPD) impose des obligations strictes de notification en cas de fuite de données personnelles. Les extensions Chrome, accessibles dans le monde entier, se retrouvent dès lors soumises à une pluralité de législations, compliquant la gestion d’un incident de cette ampleur.

Au niveau de la réponse opérationnelle, la première étape consiste généralement à bloquer ou désactiver les extensions compromises. Certains éditeurs, conscients du problème, ont déjà retiré les versions infectées de leurs outils du Chrome Web Store ou ont déployé des correctifs via une mise à jour d’urgence. Pour ce qui est des entreprises et des organismes publics, il est fréquent de mettre en place des listes blanches d’extensions autorisées, de sorte que seules celles explicitement validées par le service informatique puissent être installées. Toutefois, l’attaque actuelle prouve que même cette mesure peut être contournée si un compte de développeur légitime est compromis et qu’une mise à jour frauduleuse est poussée vers les utilisateurs.

En ce qui concerne l’investigation, les chercheurs indiquent que les cybercriminels semblent particulièrement attirés par les données relatives aux sessions de connexion, aux tokens d’authentification et aux plateformes de publicité en ligne. Les pirates peuvent ainsi détourner des comptes, lancer des campagnes d’hameçonnage secondaires, voire tenter des fraudes financières. Dans certains cas, l’accès à un compte publicitaire permet de diffuser des annonces ou de rediriger des budgets marketing à des fins illicites. On observe aussi des scénarios où les attaquants revendent ces accès à d’autres groupes spécialisés dans l’escroquerie en ligne.

L’une des préoccupations majeures réside dans l’impossibilité, pour le grand public, de savoir si une extension installée et jugée « sûre » le reste à long terme. La confiance accordée à un outil peut être remise en cause du jour au lendemain par une simple mise à jour. La taille souvent réduite des équipes en charge du développement des extensions rend ces dernières particulièrement vulnérables aux attaques de phishing, comme on l’a vu avec Cyberhaven. Il suffit que l’administrateur principal tombe dans le piège d’un courriel frauduleux pour que la porte soit grande ouverte aux intrusions. ZATAZ peut vous conseiller d’utiliser l’extension « Extension Developer Changelog » qui permet d’être alerté quand une extension installée dans votre navigateur a été modifiée.

Les perspectives d’évolution de cette problématique portent sur plusieurs axes. D’abord, les éditeurs de navigateurs comme Google, Mozilla ou Microsoft sont de plus en plus sensibilisés à la nécessité de renforcer la validation des extensions. On assiste ainsi à l’intégration de systèmes d’authentification à deux facteurs pour les comptes développeurs, ou encore à l’implémentation de canaux de mise à jour différés, permettant de tester les nouvelles versions avant leur déploiement massif. Ensuite, la communauté des chercheurs en cybersécurité développe des outils capables d’analyser le comportement des extensions, comparant le code et les permissions demandées d’une version à l’autre, pour détecter d’éventuelles anomalies.

Par ailleurs, la prise de conscience grandit chez les utilisateurs, qui se montrent plus méfiants à l’égard des plugins et des modules complémentaires. Néanmoins, la réalité indique qu’un nombre significatif d’internautes continue d’installer de multiples extensions sans se soucier des droits qu’elles réclament ou de l’identité réelle de leurs développeurs. Cette problématique de fond, liée à la responsabilité partagée entre éditeurs, plateformes et utilisateurs, reste difficile à résoudre tant l’attrait pour les nouvelles fonctionnalités l’emporte parfois sur les préoccupations de confidentialité et de sécurité.

Le manque de réaction ou de communication officielle de la part de Google dans ce type d’affaires n’arrange pas les choses. Les mécanismes de retrait d’urgence existent, mais leur mise en œuvre peut prendre du temps lorsqu’il faut identifier de manière définitive la source de l’attaque et éviter de causer du tort à d’éventuels éditeurs innocents. Cette prudence s’explique par la crainte d’un trop grand nombre de faux positifs, qui compromettrait la crédibilité de la plateforme et porterait préjudice à des développeurs honnêtes. On se retrouve alors face à un équilibre délicat entre protection des utilisateurs et respect du droit à la publication pour les concepteurs de logiciels.

Enfin, il convient de souligner le rôle de la recherche académique et indépendante dans la détection de ces menaces. Les laboratoires et firmes spécialisées, à l’image d’ExtensionTotal, effectuent une veille permanente sur le Chrome Web Store et d’autres magasins d’extensions, permettant de rapidement alerter la communauté en cas d’anomalie. Le fait de rendre ces découvertes publiques contribue aussi à dissuader certains criminels, conscients que leurs méfaits risquent d’être exposés et neutralisés. Toutefois, la nature distribuée et parfois anonyme d’internet fait que la traque des responsables demeure une tâche ardue, en particulier lorsque les opérations sont orchestrées depuis des juridictions peu coopératives ou dotées d’une législation permissive en matière de cybercriminalité.

Pour ne rien manquer des actualités les plus importantes dans le domaine de la cybersécurité et être aux premières loges des derniers rebondissements, abonnez-vous gratuitement à la newsletter de ZATAZ. Rejoignez également notre groupe WhatsApp et nos réseaux sociaux pour accéder à des informations exclusives, des alertes en temps réel et des conseils pratiques pour protéger vos données.