Quand les extensions pour la productivité se transforment en outils d'attaque

Les extensions de navigateur sont devenues l'une des méthodes les plus efficaces pour les acteurs malveillants d'obtenir un accès persistant à l'activité de navigation des utilisateurs. Contrairement aux logiciels malveillants traditionnels, les extensions malveillantes bénéficient de la confiance accordée par les utilisateurs, s'exécutent directement dans le navigateur et ne nécessitent souvent qu'une seule installation pour rester actives indéfiniment.

Dans le cadre d'activités continues de recherche des menaces sur le Chrome Web Store et le Microsoft Edge Add-ons Store, les chercheurs LayerX Research (désormais intégré à Akamai) ont identifié une campagne coordonnée d'extensions de navigateur comprenant 32 extensions malveillantes, qui ont collectivement touché plus de 6 150 utilisateurs.

À première vue, ces extensions semblent sans lien entre elles. Elles se présentent comme des outils de productivité variés : utilitaires de traitement de texte, améliorations pour YouTube, assistants SEO, applications de prise de notes, assistants linguistiques, utilitaires Markdown et autres capacités destinées à faciliter l'utilisation du navigateur. Chacune possède sa propre identité visuelle et met en avant des fonctionnalités différentes.

Derrière cette diversité apparente, cependant, la plupart des extensions reposent sur une infrastructure presque identique, ce qui laisse penser qu'elles proviennent d'un même cadre de développement. En outre, elles partagent toutes des ressources de localisation en coréen, des commentaires rédigés en coréen ainsi que d'autres artefacts de développement. 

Ces caractéristiques communes portent à croire que ces extensions relèvent d'une même campagne et ont été développées par un même cybercriminel, qu'il s'agisse d'un groupe organisé ou d'un individu.

Les premières extensions associées à cette campagne sont apparues en mars 2025. De nouvelles extensions ont ensuite continué à être publiées au cours des mois suivants.

Plutôt que de republier la même extension, les opérateurs ont continuellement introduit de nouvelles variantes fondées sur le même cadre de développement sous-jacent.

Voici les caractéristiques identifiées par les chercheurs LayerX :

• 32 extensions de navigateur malveillantes

• Distribuées par :

  • le Chrome Web Store de Google ;

  • le Microsoft Edge Add-ons Store.

• Plus de 6 150 utilisateurs concernés

Les extensions concernées se font passer pour différents utilitaires :

• Compteurs de caractères

• Utilitaires Markdown

• Améliorations de YouTube

• Contrôleurs de vitesse de lecture vidéo

• Outils SEO

• Assistants linguistiques

• Outils de prise de notes

• Utilitaires de défilement

• Assistants liés à l'IA

Bien que ces extensions semblent n'avoir aucun rapport les unes avec les autres, l'analyse statique a révélé que la plupart réutilisent des service workers d'arrière-plan quasiment identiques, ainsi que la même logique de télémétrie, les mêmes structures de stockage et les mêmes mécanismes de gestion de la navigation. En dehors des éléments de marque et des fonctionnalités mises en avant, l'implémentation sous-jacente reste largement inchangée, ce qui laisse fortement penser que ces extensions ont été générées à partir d'un cadre de développement commun.

Prise séparément, aucune de ces extensions ne semble particulièrement remarquable. Chacune met en avant une fonctionnalité d'amélioration de la productivité crédible, possède sa propre identité visuelle et dispose d'une base d'utilisateurs relativement restreinte. Ce n'est qu'en établissant des corrélations entre les informations relatives aux éditeurs, les similitudes du code, l'infrastructure distante partagée et le comportement observé à l'exécution que l'ampleur réelle de la campagne apparaît. 

La Figure 1 montre comment les campagnes d'extensions de navigateur sophistiquées peuvent passer inaperçues en distribuant des fonctionnalités malveillantes dans de nombreuses extensions, sans lien apparent entre elles.

Plutôt que d'intégrer la logique opérationnelle directement dans le package de l'extension, la plupart des extensions récupèrent un fichier de configuration distant depuis un même point de terminaison hébergé sur jsDelivr (Figure 2).

Une fois téléchargée, cette configuration est analysée puis mise en cache localement :

L'utilisation d'une configuration distante accroît considérablement la flexibilité de la campagne. Au lieu de publier une nouvelle version de l'extension sur le Chrome Web Store ou le Microsoft Edge Add-ons Store, il suffit aux opérateurs de modifier le fichier de configuration pour changer son comportement. Ils peuvent ainsi mettre immédiatement à jour les sites Web ciblés, les destinations de redirection ou la logique de campagne sans déclencher un nouveau processus de validation par les boutiques d'extensions.

Au cours de notre enquête, nous avons observé plusieurs modifications de cette configuration distante. À un moment donné, elle était entièrement vide, ce qui laisse supposer que l'infrastructure avait été temporairement désactivée ou réinitialisée (Figure 3).

Quelques jours plus tard, elle contenait des règles destinées à la redirection de trafic d'affiliation. Cela démontre que le comportement de la campagne est géré de manière dynamique par la configuration distante, et n'est pas intégré de façon statique dans les extensions (Figure 4).

La configuration téléchargée ne contient pas de valeurs en clair. À la place, les noms d'hôte, les charges utiles de redirection et les identifiants internes sont encodés en Base64 puis reconstitués à l'exécution (Figure 5).

L'encodage Base64 n'offre aucune protection cryptographique et n'apporte aucun avantage fonctionnel à l'extension elle-même. Au contraire, il complique les inspections manuelles et les analyses statiques automatisées en dissimulant les domaines ciblés et les charges utiles de redirection jusqu'au moment de l'exécution.

Les valeurs décodées sont ensuite utilisées pour reconstituer les règles de navigation appliquées durant le reste de l'exécution de l'extension.

Après son initialisation, le service worker d'arrière-plan surveille en permanence l'activité de navigation des utilisateurs au moyen de l'API webNavigation (Figure 6).

Puisqu'elle intervient à chaque navigation, l'extension peut observer l'activité de navigation de l'utilisateur dans son ensemble, y compris sur des sites Web sans rapport avec les fonctionnalités qu'elle prétend fournir (Figure 7).

Lorsqu'un nom d'hôte correspond à l'une des règles fournies à distance, l'extension appelle chrome.tabs.update() afin de remplacer discrètement l'onglet actif.

Contrairement aux campagnes de redirection qui reposent sur des URL codées en dur, l'URL de destination est reconstituée de manière dynamique à partir de la configuration téléchargée, plutôt que d'être intégrée directement dans l'extension.

Puisque les destinations de redirection sont fournies à distance et non intégrées à l'extension, les opérateurs peuvent modifier les cibles de leurs campagnes à tout moment, sans publier de nouvelle mise à jour dans les boutiques d'extensions.

https://cdn.jsdelivr.net/gh/chosanghyeon-dev/chosanghyeon-dev@main/cf.json

https://link.coupang.com/a/dUnRI6

https://link.coupang.com/a/ej6z6U

api.pvmf.workers.dev

indie05hacker@gmail.com