Un rapport récent publié par le chercheur en sécurité John Tuckner de la société Socket a révélé une vaste campagne de détournement de recherches, impliquant 319 extensions pour le navigateur Google Chrome, pour un total de 13,4 millions de téléchargements. Ces extensions exploitent les autorisations du navigateur pour rediriger les requêtes des utilisateurs via des serveurs proxy, dans le but de générer des revenus publicitaires par le biais de moteurs de recherche tels que Bing et Yahoo.
Mécanisme de détournement
Ces extensions reposent sur l'exploitation du paramètre chrome_settings_overrides dans le navigateur Chrome, qui leur permet de remplacer le moteur de recherche par défaut de l'utilisateur sans nécessiter de programmation complexe. Dans de nombreux cas, les extensions ne contiennent aucun script d'arrière-plan ou contenu complexe, se contentant d'un fichier de configuration (manifest) et d'icônes, ce qui facilite leur validation sur le Chrome Web Store.
Ces extensions se font passer pour des outils utiles tels que des convertisseurs de fichiers PDF, des outils de recherche manuelle, ou des extensions de recherche sécurisée et d'intelligence artificielle. Bien qu'elles soient hébergées sur la boutique officielle de Google, elles sont souvent non répertoriées (Unlisted), ce qui signifie qu'elles n'apparaissent pas dans les résultats de recherche de la boutique et qu'elles sont plutôt promues via des publicités trompeuses sur des sites Web tiers.
Pourquoi cette nouvelle est-elle importante ?
La gravité de ces extensions dépasse le simple cadre de la fraude publicitaire. Les chercheurs avertissent que les opérateurs de ce réseau ont la capacité de modifier la destination de la redirection à tout moment sans avoir à mettre à jour l'extension elle-même. Cela signifie qu'il est possible de rediriger soudainement les utilisateurs vers des sites de hameçonnage (Phishing) ou des pages contenant des logiciels malveillants, transformant ces extensions de programmes indésirables en outils de menace directe pour la sécurité.
Une analyse technique d'une extension appelée "Predator Search" a montré qu'une même recherche peut mener à des résultats différents à chaque fois, l'utilisateur étant redirigé via une série de domaines intermédiaires avant d'atteindre le moteur de recherche final, ce qui confirme le contrôle total des opérateurs sur le flux de données.
Que doivent faire les utilisateurs ?
Bien que Google ait supprimé la plupart de ces extensions après leur découverte, la menace persiste en raison de l'apparition constante de nouvelles extensions. Les experts recommandent les étapes suivantes :
- Désinstaller immédiatement toute extension inconnue ou dont l'origine est douteuse.
- Effectuer une analyse complète du système à l'aide d'un antivirus fiable.
- Éviter de télécharger des extensions depuis des sources non fiables ou via des bannières publicitaires sur les sites Web.