// CLUBIC — CYBERSECURITY
Installées depuis des mois, ces extensions Chrome et Edge se sont retournées contre leurs utilisateurs après une mise à jour de routine
D’abord inoffensives, une vingtaine d’extensions Chrome et Edge ont fini par recevoir du code malveillant lors d’une mise à jour. Des outils parfois installés depuis longtemps se sont alors transformés en un arsenal capable de voler identifiants, sessions et cryptomonnaies.
Une extension installée depuis des mois peut-elle soudain se retourner contre vous ? Oui. Socket rapporte avoir identifié 19 extensions Chrome et Edge liées à une campagne remontant à 2024. Toutes avaient pourtant commencé leur existence sans malware, avant qu’une mise à jour n’introduise le code malveillant. Quatorze avaient été créées par les attaquants eux-mêmes ; cinq autres avaient entre-temps changé de propriétaire.
Votre petite entreprise a de grandes ambitions. Protégez-là contre les pirates. Et développez sereinement votre activité !
Le procédé permettait aux attaquants de profiter d’une base d’utilisateurs et d’utilisatrices déjà constituée avant de passer à l’offensive. Parmi les extensions repérées par Socket, « Enable Right Click & Copy — Smart Unlock + OCR » comptait ainsi environ 70 000 installations sur Chrome lorsque le code malveillant y a été introduit, auxquelles s’ajoutaient quelque 10 000 installations sur Edge. Une méthode déjà observée fin 2025 avec ShadyPanda, qui avait laissé des extensions Chromium gagner la confiance des internautes avant qu’une mise à jour n’y intègre des fonctions malveillantes.
Dans la campagne analysée par Socket, la version compromise établissait ensuite une connexion chiffrée vers les serveurs des attaquants, qui pouvaient lui transmettre différents modules JavaScript. Les chercheurs ont confirmé en avoir observé 16, principalement tournés vers le vol de données et de cryptomonnaies. Ils pouvaient par exemple détourner les boutons de connexion ou d’échange de portefeuilles, afficher de fausses pages Ledger et Trezor, récupérer des sessions ouvertes sur Coinbase, Binance, Kraken ou MetaMask, enregistrer des identifiants et siphonner l’historique de navigation.
Le code pouvait également pousser le vice plus loin et modifier directement les pages consultées en neutralisant leur Content Security Policy (CSP), l’ensemble de règles qui limite les scripts qu’un site peut charger et exécuter. Les attaquants pouvaient alors y injecter leur propre code, notamment pour afficher de fausses mises à jour de navigateur inspirées de ClickFix et pousser la victime à exécuter elle-même une commande malveillante.
La liste complète des 19 extensions concernées est disponible sur le site de Socket. Au moment de la publication du rapport, les versions Chrome malveillantes n’étaient plus disponibles sur le Chrome Web Store. La version Edge de « Enable Right Click & Copy — Smart Unlock + OCR » restait en revanche accessible et continuait de diffuser le malware malgré son signalement à Microsoft.
Si l’une de ces extensions figure encore dans votre navigateur, supprimez-la. Cette précaution ne suffit toutefois pas à écarter les conséquences d’une éventuelle compromission. Changez les mots de passe utilisés pendant la période concernée et fermez toutes les sessions actives lorsque le service le permet. Le malware pouvait en effet dérober des jetons de session et donner accès à des comptes déjà authentifiés sans avoir besoin du mot de passe.
La situation est plus critique encore pour les portefeuilles de cryptomonnaies. Si vous avez saisi une phrase de récupération pendant que l’extension compromise était active, considérez-la comme exposée. Il faut alors créer un nouveau portefeuille avec une nouvelle phrase de récupération, puis y transférer les fonds encore présents sur l’ancien. Si vous avez connecté ou utilisé votre portefeuille sur un site durant cette période, vérifiez également les autorisations accordées et révoquez celles que vous ne reconnaissez pas.