Quand c'est le magasin qui est la menace — 108 extensions Chrome malveillantes, un C2, 20 000 installations

Le 14 avril, la société de sécurité applicative Socket a révélé une campagne coordonnée d'extensions malveillantes sur le Chrome Web Store. Le chercheur Kush Pandya a identifié 108 extensions publiées sous cinq fausses identités d'éditeur — Yana Project, GameGen, SideGames, Rodeo Games et InterAlt — pointant toutes vers un même serveur de commande et de contrôle (C2) à 144.126.135[.]238. Ensemble, ces extensions avaient été installées environ 20 000 fois. The Hacker News a confirmé les chiffres le même jour.

Ces extensions n'étaient pas une simple nuisance à URL cassée ou une bribe de fraude publicitaire greffée sur du vrai logiciel. C'était une boîte à outils :

• 54 extensions volaient l'identité Google de l'utilisateur connecté en récupérant le jeton Bearer OAuth2 — la courte chaîne que Chrome envoie pour vous identifier auprès des services Google — à la seconde où l'onglet se chargeait.
• 45 extensions embarquaient ce que Socket qualifie de porte dérobée universelle : elles ouvraient des URL arbitraires au démarrage du navigateur, d'après des commandes récupérées sur le C2. C'est une primitive pour la fraude au clic, les téléchargements furtifs ou la navigation silencieuse vers une page d'exploitation.
• D'autres injectaient du HTML contrôlé par l'attaquant dans de vrais sites, supprimaient les en-têtes de sécurité HTTP pour que le contenu injecté puisse effectivement s'exécuter, détournaient des sessions Telegram Web toutes les 15 secondes, faisaient transiter des requêtes de traduction par l'attaquant, ou enveloppaient les pages YouTube et TikTok dans des surcouches de paris.

Le code comportait des commentaires en russe dans les chemins d'authentification et de vol de session. Le chercheur note que l'identité de l'opérateur est inconnue ; l'infrastructure était hébergée sur un VPS Contabo, avec des sous-domaines ventilés par fonction (collecte d'identité, exécution de commandes, monétisation, détournement de session).

Au moment où l'affaire est sortie, aucune des 108 extensions n'avait été retirée du Web Store.

Ce qu'est réellement une extension, et pourquoi ce n'est pas juste une énième histoire de malware.

La plupart des gens installent des extensions de navigateur comme ils installent des polices : ils en trouvent une qui a l'air utile, cliquent sur le bouton bleu, et n'y pensent plus. La boîte de dialogue de « permissions » qui apparaît parfois est un vestige d'une époque plus ancienne et plus claire. Dans le modèle d'extensions actuel de Chrome, une très grande part des vraies extensions demandent quelque chose qui ressemble à ceci, et l'utilisateur n'a aucun moyen sérieux de dire non partiellement :

Les extensions se situent au-dessus de la politique de même origine qui isole les onglets les uns des autres. C'est précisément leur raison d'être : un bloqueur de publicité ne fonctionnerait pas s'il ne pouvait pas lire la publicité sur chaque site, et un gestionnaire de mots de passe ne fonctionnerait pas s'il ne pouvait pas surveiller chaque formulaire de connexion. Le navigateur, en toute logique, ne distingue pas à l'exécution entre « le bloqueur de pub qui lit la page pour masquer une bannière » et « l'extension malveillante qui lit la page pour voler votre jeton de session ». C'est la même capacité, accordée pour des raisons différentes.

Ce que les 108 extensions de Socket ont fait, ce n'est donc pas un astucieux contournement de la sécurité de Chrome. C'est le comportement normal et documenté de la plateforme d'extensions, pointé vers le serveur d'un opérateur plutôt que vers le bénéfice de l'utilisateur.

Cinq faux éditeurs, un serveur, 20 000 installations.

C'est la forme de la campagne qui importe. Un seul acteur, une poignée de comptes d'éditeur marionnettes, un catalogue bâti pour paraître superficiellement varié — jeux de machines à sous et de keno, « améliorateurs » de YouTube et TikTok, utilitaires de barre latérale Telegram, outils de traduction, décorations de curseur — tous renvoyant à la même IP. Pris individuellement, chacune de ces extensions ressemble à de la camelote de bas étage. Pris ensemble, ils forment une récolte industrielle.

Cinq éditeurs ne sont pas la limite extérieure du motif : ils en sont la surface. En parallèle de la révélation de Socket, la société LayerX Security a publié une extension de ce qu'elle appelle la campagne GhostPoster, retraçant des extensions malveillantes apparentées sur Chrome, Firefox et Edge, avec des téléchargements cumulés se comptant en centaines de milliers et des origines remontant à 2020. La leçon à retenir n'est pas qu'un gang particulier s'est fait prendre. Elle est que le modèle des magasins d'extensions — l'utilisateur fait confiance au magasin, le magasin contrôle à la soumission, et le magasin fait ensuite surtout confiance à l'identité de l'éditeur — échoue discrètement, à grande échelle, depuis des années.

La réponse de Bromure : ne pas autoriser les extensions du tout.

Bromure est un navigateur axé sur la sécurité. Chaque onglet tourne à l'intérieur d'une VM Linux jetable (virtual machine — son propre ordinateur distinct, effacé à la fermeture de la fenêtre) sur votre Mac. Dans cette VM, nous installons Chromium avec une politique réduite. Deux lignes de cette politique comptent pour cette histoire :

• chrome://extensions est bloqué.
• chromewebstore.google.com est bloqué.

Il n'y a pas de flux « avertir l'utilisateur et le laisser poursuivre », pas de « paramètres avancés pour le permettre quand même », pas d'exception par mode développeur qu'une page de phishing pourrait vous faire activer. L'utilisateur ne peut pas atteindre le Web Store depuis une session Bromure, et même s'il avait déjà le fichier .crx sur disque, la page des extensions n'est pas joignable pour le charger. La surface d'attaque sur laquelle s'appuie la campagne GhostPoster n'existe pas ici.

C'est, pour être clair, un choix de conception délibéré, et non un oubli. La position de Bromure est que tout navigateur qui permet à l'utilisateur d'installer des extensions est structurellement vulnérable à des campagnes comme celle-ci. Pas « vulnérable si le magasin devient laxiste ». Structurellement vulnérable. La modération du magasin est la seule chose qui se tient entre l'utilisateur et un programme avec un accès étendu à toutes les pages, et « la modération du magasin » vient de publiquement échouer à l'échelle industrielle, dans une campagne nommée, avec une infrastructure d'opérateur nommée, avec 20 000 installations. Demander à l'utilisateur de juger mieux que l'équipe de modération de Google, ce n'est pas un modèle de sécurité.

La version dure de cette position — la version Bromure — est de supprimer la capacité. Pas d'extensions installables par l'utilisateur. Pas d'interrupteur avancé. Pas d'« extensions non listées, chargées depuis un .crx, pour les utilisateurs avancés ». L'attaquant ne peut pas exploiter une capacité que le navigateur ne propose pas.

Ce que cela coûte, et pourquoi le compromis est honnête.

Soyons honnêtes : c'est un vrai compromis, et cela mérite d'être nommé clairement.

Une nuance mérite d'être dite franchement. Bromure charge bien un petit nombre d'extensions internes à l'intérieur de la VM — un pont de justificatifs pour parler au gestionnaire de mots de passe de votre Mac, un bloqueur WebRTC pour les cas de fuite d'IP sur lesquels nous avons déjà écrit, et quelques autres utilitaires d'instrumentation. Elles font partie de l'architecture même du navigateur, cuites dans l'image disque, et non quelque chose qu'une session en cours peut ajouter ou remplacer. Ce n'est pas une porte dérobée pour installer des extensions utilisateur ; c'est le navigateur qui est le navigateur. Les appeler « extensions », c'est nommer honnêtement le mécanisme, pas un magasin secret.

C'est le modèle de modération qui est cassé.

Il est tentant de lire l'histoire des 108 extensions comme une histoire propre à Google. Ce n'en est pas une. Le magasin d'extensions de Mozilla et le magasin Edge de Microsoft ont, selon le suivi plus large de LayerX, hébergé des campagnes apparentées pendant des années — dans certains cas nées sur Edge avant d'étendre leur présence à Chrome. Le facteur commun n'est pas une équipe de modérateurs particulière. C'est le modèle : soumettre, se faire approuver, publier, puis pousser des mises à jour automatiques aux utilisateurs installés avec une supervision continue minimale. Tout programme appelé à tourner sur des millions de machines sous ce modèle finira, tôt ou tard, par attirer des gens prêts à industrialiser la faille.

C'est un navigateur plus petit à cause de ce choix. C'est précisément l'objectif. Un navigateur axé sur la sécurité qui continue à dire oui à chaque extension du Web Store n'est pas un navigateur axé sur la sécurité ; c'est un navigateur ordinaire avec un autre logo. Quand c'est le magasin qui est la menace, la seule réponse honnête consiste à ne pas prendre d'extensions dans le magasin. Votre Mac en sortira, à notre avis, plus sûr.

Si vous voulez ce que fait Bromure, installez-le et essayez-le comme navigateur par défaut pour la moitié risquée de votre navigation — les liens cliqués dans les groupes de discussion, les résultats de recherche dont vous n'êtes pas tout à fait sûr, les pièces jointes d'e-mail professionnel qui ont toujours l'air d'ouvrir « une page ». Si l'opérateur de GhostPoster est encore là, et que les 108 prochaines extensions arrivent demain, une session Bromure n'en saura rien.