Plus de 100 extensions Chrome volaient vos données depuis le Web Store officiel
Le Web Store officiel de Google Chrome n’est pas aussi sûr qu’on le croit. Des chercheurs viennent de découvrir 108 extensions malveillantes qui dérobaient données personnelles et sessions Telegram. L’opération semble coordonnée par un unique cybercriminel.
Les extensions de navigateur sont devenues presque indispensables pour des millions d’utilisateurs. Elles permettent de bloquer les publicités, de traduire des pages ou de personnaliser son expérience en ligne. Pourtant, télécharger une extension sur une boutique officielle ne garantit plus une sécurité totale. Des fausses extensions Chrome se sont déjà fait passer pour des proxys pour dérober mots de passe et données sensibles. D’autres avaient siphonné près de 900 000 conversations d’utilisateurs avec des chatbots IA.
Dans ce contexte, une nouvelle campagne d’une ampleur inédite vient d’être mise au jour. Des chercheurs en cybersécurité ont identifié 108 extensions malveillantes dans le Chrome Web Store. Elles se répartissent en cinq catégories : clients Telegram, jeux, outils pour YouTube et TikTok, traducteurs et utilitaires. Toutes semblaient fonctionner normalement en apparence. En réalité, elles opéraient discrètement en arrière-plan.
108 extensions Chrome malveillantes du Web Store volaient tokens, emails et sessions Telegram
Selon les chercheurs du site Socket, ces 108 extensions menaient plusieurs actions malveillantes en parallèle. Un groupe de 78 modules injectait du code HTML contrôlé par les attaquants dans l’interface du navigateur. Cinquante-quatre autres récoltaient les adresses e-mail, noms, photos de profil et identifiants Google. Elles volaient aussi les tokens OAuth2 Bearer, qui permettent d’accéder à un compte sans mot de passe. Quarante-cinq extensions ouvraient des portes dérobées, récupérant des commandes depuis un serveur distant pour ouvrir des URL arbitraires.
L’extension la plus dangereuse volait les sessions Telegram Web toutes les 15 secondes. Elle extrayait les données du stockage local ainsi que le token de session actif. Malgré des profils de publication distincts, toutes se connectaient à la même infrastructure de commande. Les commentaires dans le code ont conduit Socket à attribuer la campagne à une probable opération russe de type malware-as-a-service.
Au total, ces extensions ont été installées plus de 20 000 fois. Au moment de la publication, Google n’avait pas encore retiré les modules signalés du Web Store. Si vous en utilisez une, désinstallez-la immédiatement.
