Mots de passe, cookies, frappes au clavier… cette extension pirate Chrome et Edge sans que vous l’ayez installée

Les extensions de navigateur figurent parmi les armes favorites des cybercriminels. Baptisé Kremlin, un malware va plus loin en forçant Chrome et Edge à charger une extension espionne à l’insu de sa victime. Identifiants, cookies et saisies au clavier partent ensuite directement chez les pirates.

Bloqueur de publicités, traducteur ou gestionnaire de mots de passe, les modules de navigateur rendent service au quotidien. Ils s’installent en quelques clics. Cette simplicité attire aussi les pirates. En avril, 108 extensions malveillantes du Chrome Web Store dérobaient des sessions Telegram et des identifiants Google. Ces outils avaient pourtant passé les contrôles de la boutique officielle.

Pour piéger leurs cibles, les cybercriminels misent souvent sur la crédulité des internautes. Cet été, un faux popup de mise à jour de Chrome servait à diffuser un malware auprès des utilisateurs du navigateur. Dans tous ces cas, la victime doit encore accepter l’installation d’un programme. Des chercheurs en cybersécurité viennent de détailler une campagne capable de se passer totalement de cette étape.

Le malware Kremlin a déjà infecté plus de 1 500 PC en détournant Chrome et Edge

D’après le rapport publié par Elastic Security Labs, le malware Kremlin circule depuis mai 2025. Son nom trompe son monde. Rien ne relie l’opération à la Russie, et ses appâts imitent douze banques brésiliennes. L’infection démarre à l’ouverture d’un faux relevé bancaire ou d’une fausse facture. Le programme copie ensuite l’extension directement dans les dossiers de Chrome et d’Edge, puis falsifie les contrôles d’intégrité censés bloquer tout ajout effectué sans l’accord de l’utilisateur.

Pour rester discret, Kremlin attend que Chrome soit fermé ou que son propriétaire reste inactif pendant deux minutes. À défaut, il coupe le navigateur de force. L’extension se fait passer pour un logiciel légitime baptisé AVSync. Une fois active, elle capture l’écran, récupère les cookies et enregistre les saisies dans les formulaires des sites ciblés. Elle peut aussi intercepter des requêtes, injecter du contenu dans une page ou rediriger la victime. En parallèle, les identifiants mémorisés partent vers les pirates avec les clés permettant de les déchiffrer.

Les chercheurs ont enregistré un nom de domaine servant de coupe-circuit au malware Kremlin. Grâce à cette manœuvre, ils ont recensé 1 515 ordinateurs infectés, dont 98,75 % au Brésil. Le premier module croit désormais être observé et s’interrompt. Sur les machines déjà touchées, l’extension espionne reste toutefois en place. Au moment de la publication, le nombre d’infections progressait encore rapidement.