Une campagne vise 319 extensions Chrome pour 13,4 millions d’installations. Derrière la pub détournée, le risque peut glisser vers le phishing.
En bref
- 319 extensions Chrome impliquées
- 13,4 millions d’installations cumulées
- Les recherches passent par des serveurs tiers
Le chiffre a changé d’échelle. En avril, l’enquête de John Tuckner, chercheur chez Socket, pointait 57 extensions et 6 millions de téléchargements. Elle en recense désormais 319, pour 13,4 millions d’installations. Et ce n’est pas un détail de marché, parce qu’on parle ici d’extensions capables de prendre la main sur un usage central du navigateur, la recherche.
Une campagne qui change de dimension
Le plus frappant, c’est le mode de diffusion. Ces extensions ne circulent pas vraiment par les canaux visibles du Chrome Web Store. Elles sont surtout non listées, puis poussées via des publicités douteuses qui promettent un PDF converter, une recherche IA ou un outil de safe search. En gros, des utilitaires banals, donc faciles à essayer sans trop réfléchir.
John Tuckner attribue l’opération à une poignée d’acteurs organisés, avec une logique commune. Leur idée, dit-il, est simple, remplacer discrètement le moteur de recherche par défaut du navigateur, faire passer chaque requête par un proxy suspect, puis récupérer des commissions d’affiliation liées à Yahoo ou Bing.
Le vrai mécanisme se joue dans le moteur de recherche
Techniquement, l’opération repose sur chrome_settings_override, un réglage natif de Chrome qui permet à une extension de changer le fournisseur de recherche par défaut. Dit autrement, l’extension n’a pas besoin d’un tour de passe-passe très sophistiqué, elle exploite une capacité prévue par le navigateur.
Conséquence, vos requêtes transitent d’abord par le serveur de l’opérateur. Ensuite seulement, elles repartent vers Bing ou Yahoo, ce qui permet de revendiquer à tort des revenus publicitaires. La mécanique est assez rudimentaire, mais elle est rentable, donc elle se répète.
Pourquoi ce modèle peut devenir plus dangereux
Pour l’instant, l’usage dominant reste la capture des recherches à des fins de monétisation. Mais c’est justement ce qui rend le dossier plus sérieux qu’un simple détournement pub. John Tuckner explique que ce revenu de parrainage peut servir de point d’attente, le temps d’accumuler des données et d’identifier des cibles.
Et après, la bascule est assez évidente. Les redirections pourraient mener vers des résultats piégés, des pages de phishing ou d’autres téléchargements malveillants. Pas de quoi paniquer, mais clairement un risque structurel.
Ce que les utilisateurs doivent vérifier
La plupart des extensions signalées ont été retirées du Chrome Web Store au moment de la publication de l’enquête. Mais de nouvelles arrivent en continu, ce qui dit quelque chose du problème. Google n’a peut-être pas de raison urgente de durcir largement le contrôle si davantage d’annonces tournent et si davantage d’extensions alimentent la place de marché.
Du coup, la prudence reste très classique. Mieux vaut privilégier des extensions connues, vérifier les notes, lire les avis et regarder si le développeur est légitime. Et même une bonne extension peut mal tourner. Sur Windows comme sur Mac, avec un poste Apple, un antivirus reste utile pour bloquer une extension qui commencerait à diffuser un malware. Si vous testez souvent de nouveaux modules, une protection contre le vol d’identité peut aussi limiter la casse après une arnaque ou une cyberattaque.
