Browser Extension Malware

Définition

Les extensions de navigateur malveillantes (Browser Extension Malware) exploitent les permissions étendues accordées aux extensions de navigateur pour espionner les utilisateurs, voler des credentials, injecter des publicités, modifier des pages web, et effectuer du cryptomining. Avec plus de 3 milliards d'utilisateurs Chrome et Firefox, la compromission via des extensions malveillantes touche des millions de victimes. Les extensions de navigateur ont accès à des permissions puissantes selon ce que l'utilisateur accepte lors de l'installation : lecture de tout le trafic web (tabs, cookies, requêtes réseau), modification du DOM des pages, accès au presse-papiers, exécution de scripts dans les pages visitées, et communication avec des serveurs distants. Une extension avec 'Accéder à vos données sur tous les sites web' peut intercepter les credentials tapés sur n'importe quel site. Des vecteurs d'infection incluent : des extensions légitimes compromises (rachat d'une extension populaire par un acteur malveillant, puis mise à jour avec du code malveillant), des extensions se faisant passer pour des extensions populaires (bloqueurs de pub, outils de capture d'écran), des extensions proposées via des publicités ou des sites de phishing, et des extensions légitimes avec un écosystème de plugins malveillants. Des cas notables incluent : Great Suspender (extension Chrome populaire achetée et transformée en malware en 2020), une série d'extensions 'bloqueur de pub' malveillantes qui volaient les cookies de session Google et Facebook, et des extensions spécifiquement ciblant les portefeuilles crypto (MetaMask clones, portefeuilles hardware fake). Les entreprises protègent leurs environnements en imposant des politiques d'extensions via les MDM (Mobile Device Management), en limitant les extensions aux seules approuvées par le service IT, et en surveillant les installations d'extensions via les outils EDR.