Danger sur Chrome : désinstallez d’urgence ces 108 extensions malveillantes

Les extensions Chrome sont des nids à malwares. Le dernier rapport de Socket dénonce une nouvelle campagne malveillante coordonnée ciblant les utilisateurs du navigateur. Derrière leur apparence légitime, 108 extensions s’efforcent de collecter vos données personnelles, voler vos sessions et injecter des publicités ou du code malveillant.

Publiées sous cinq identités d’éditeurs distincts (Yana Project, GameGen, SideGames, Rodeo Games et InterAlt), ces extensions sont réparties dans plusieurs catégories. On retrouve notamment des clients pour Telegram, des jeux, des outils d’améliorations pour YouTube et TikTok, des outils de traduction ou encore des utilitaires.

Pour déjouer la vigilance des usagers, les façades sont soignées et les fonctionnalités promises sont bien au rendez-vous. Mais c’est en coulisses que les pirates agissent. “Un code malveillant s’exécute en arrière-plan, connecté à un serveur de commande et de contrôle capable de voler des identités, d’exfiltrer des sessions et d’ouvrir des URL arbitraires dans le navigateur de l’utilisateur”, dénonce le chercheur Kush Pandya.

Des extensions Chrome dérobent vos données sensibles et parasitent votre navigation

Dans le détail, 54 extensions cherchent à récupérer l’identité Google des victimes. Celles-ci utilisent des identifiants OAuth2 issus de deux projets Google Cloud, trahissant un opérateur unique aux commandes. Dès la première connexion, elles transmettent aux attaquants des informations durables : nom, email, photo de profil et surtout l’identifiant Google unique de la victime (un code qui ne change pas en cas de modification du mot de passe).

Sans permettre un accès direct aux comptes, ces informations volées alimentent des bases exploitables pour du phishing ultra ciblé ou de la revente de données enrichies.

Une autre extension agressive cible Telegram Web. Baptisée “Telegram Multi-account”, elle injecte un script capable de récupérer le token de session (user_auth) dès l’ouverture de l’app, puis de l’exfiltrer vers un serveur distant toutes les 15 secondes. Elle peut également écraser le stockage local avec des données de session contrôlées par l’attaquant et forcer le rechargement de l’application. Un moyen de substituer la session Telegram active de la victime par celle du malfrat.

Une session Telegram volée permet aux pirates d’accéder aux messages, contacts et comptes associés de l’usager sans connaître son mot de passe ni de code d’authentification supplémentaire.

A lire > Attention ! Des extensions Chrome espionnaient les conversations ChatGPT et DeepSeek

Parmi les autres comportements néfastes des extensions signalées par Socket, on peut notamment mentionner :

• Suppression des en-têtes de sécurité de YouTube et TikTok (comme Content Security Policy, X-Frame-Options et CORS) et injection de publicités.
• Injection de scripts dans de nombreuses pages visitées par la victime.
• Exfiltration des requêtes de traduction par un serveur contrôlé par l’attaquant.
• Ouverture d’URL arbitraires à chaque lancement de Chrome.

Google Chrome : la liste des extensions à supprimer de toute urgence

Ces extensions ont été installées à 20 000 reprises sur le Chrome Web Store. Socket a demandé à Google de les retirer du magasin d’extensions. Voici la liste complète (l’ID est entre parenthèses) :

• Telegram Multi-account (obifanppcpchlehkjipahhphbcbjekfa)
• Web Client for Telegram – Teleside (mdcfennpfgkngnibjbpnpaafcjnhcjno)
• YouSide – Youtube Sidebar (mmecpiobcdbjkaijljohghhpfgngpjmk)
• Web Client for Youtube – SideYou (bfoofgelpmalhcmedaaeogahlmbkopfd)
• Web Client for TikTok (cbfhnceafaenchbefokkngcbnejached)
• Page Locker (ldmnhdllijbchflpbmnlgndfnlgmkgif)
• Page Auto Refresh (lnajjhohknhgemncbaomjjjpmpdigedg)
• Clear Cache Plus (bgdkbjcdecedfoejdfgeafdodjgfohno)
• Speed Test for Chrome – WiFi SpeedTest (bpljfbcejldmgeoodnogeefaihjdgbam)
• Metal Calculator (ncpdkpcgmdhhnmcjgiiifdhefmekdcnf)
• InterAlt (pkghgkfjhjghinikeanecbgjehojfhdg)
• Text Translation (ogogpebnagniggbnkbpjioobomdbmdcj)
• Piggy Prizes – Slot Machine (akifdnfipbeoonhoeabdicnlcdhghmpn)
• Slot Arabian (akkkopcadaalekbdgpdikhdablkgjagd)
• Black Beard Slot Machine (alllblhkgghelnejlggmmgjbkdabidie)
• Indian – Slot Machine (amkkjdjjgiiamenbopfpdmjcleecjjgg)
• Galactica Delux – Slot Machine (bnchgibgpgmlickioneccggfobljmhjc)
• Odds Of The Gods – Slot Machine (cljengcehefhflhoahaambmkknjekjib)
• Donuts – Slot Machine (cmlbghnlnbjkdgfjlegkbjmadpbmlgjb)
• Archer – Slot Machine (cnibdhllkgidlgmaoanhkemjeklneolk)
• Slot Machine Zeus Treasures (dljlpildgknddpnahppkihgodokfjbnd)
• Aztec – Slot Machine (dmaibhbbpmdihedidicfeigilkbobcog)
• Slot The Gold Pot (dpdemambcedffmnkfmkephnhhnclmcio)
• American Roulette Royale (ejlcbfmhjbkgohopdkijfgggbikgbacb)
• Asia Slot (eljfpgehlncincemdmmnebmnlcmfamhm)
• Jurassic Giants – Slot Machine (eoklnfefipnjfeknpmigmogeeepddcch)
• Dragon Slayer – Slot Machine (fjfhejmbhpabkacpoddjbcfandjoacmb)
• Book Of Magic – Slot Machine (fmajpchoiahphjiligpmghnhmabolhoh)
• Snake – Slot Machine (gaafhblhbnkekenogcjniofhbicchlke)
• Slot Ramses (gbhhgipmedccnankkjchgcidiigmioio)
• Voodoo Magic – Slot Machine (hdmppejcahhppjhkncagagopecddokpi)
• Christmas Eve – Slot Machine (ibelidmkbnjmmpjgfibbdbkamgcbnjdm)
• Columbus Voyage – Slot Machine (ihbkmfoadnfjgkpdmgcboiehapkiflme)
• Tropical Beach – Slot Machine (ijpgccpmogehkjhdmomckpkfcpbjlmnj)
• Gold Rush – Slot Machine (kbmindomjiejdikjaagfdbdfpnlanobi)
• Pirat Slot (kbnkkecifeppobnemkielnpagifkobki)
• 40 Imperial Crown – Slot Machine (kjnakdbpijigdbfepipnbafnhbcfdkga)
• 3D Soccer Slot Machine (kknakidneabpfgepadgpkibalcnabnnh)
• Wild Buffalo – Slot Machine (lefndgfmmbdklidbkeifpgclmpnhcilg)
• Aqua – Slot Machine (lfkknbmaifjomagejflmjklcmpadmmdg)
• Sherwood Forest – Slot Machine (lmcpbhamfpbonaenickjclacodolkbdl)
• Lone Star Jackpots – Slot Machine (maeccdadgnadblfddcmanhpofobhgfme)
• Jokers Bonanza – Slot Machine (mmbbjakjlpmndjlbhihlddgcdppblpka)
• Farm – Slot Machine (ndajcmifndknmkckdcdefkpgcodciggk)
• Black Ninja – Slot Machine (nodobilhjanebkafmpihkpoabiggnnfl)
• Slot Machine Mr Chicken (odeccdcabdffpebnfancpkepjeecempn)
• 3D Roulette Casino Game (ogbaedmbbmmipljceodeimlckohbnfan)
• Slot Machine Space Adventure (ojkbafekojdcedacileemekjdfdpkbkf)
• Gold of Egypt – Slot Machine (pllkanemicadpcmkfodglahcocfdgkhj)
• Three Card Poker (cmeoegkmpbpcoabhlklbamfeidebgmdf)
• High or Low Casino Game (ijccacgjefefdpglhclnbpfjlcbagafm)
• BlackJack 3D (imjmnghlhiimodfkdkgnfplhlobehnpm)
• Best Blackjack (flkdjodmoefccepdihipjdlianmkmhgc)
• Baccarat (kahcolfecjbejjjadhjafmihdnifonjf)
• Caribbean Stud Poker (lcijkepobdokkgmefebkiejhealgblle)
• Pai Gow Poker (nbgligggjfgkpphhghhjdoiefbimgooc)
• RED DOG CARD GAME (nkacmelgoeejhjgmmgflbcdhonpablcg)
• Video Poker Deuces Wild (hmlnefhgicedcmebmkjdcogieefbaagl)
• Video Poker Jacks or Better (peflgkmfmoijonfgcjdlpnnfdegnlaji)
• Classic Backgammon (jnmmbmkmbkcccpihjgnhjmhhkokfdnfe)
• Slot Machine The Fruits (jodocbbdcdclkhjkibnlfhbmllcpfkfo)
• Raging Zeus Mines (jmopjanoebpdbopigcbpjhiigmjolikk)
• Dice King (gbaoddbbpompjhmilbgiaapkkakldlpc)
• Bingo (dbohcpohlgnhgjmfkakoniiplglpfhcb)
• Pyramid Solitaire (oanpifaoclmgmflmddlgkikfaggejobn)
• Web Client for Rugby Rush – SideGame (aecccajigpipkpioaidignbgbeekglkd)
• Formula Rush Racing Game (akebbllmckjphjiojeioooidhnddnplj)
• Frogtastic (alkfljfjkpiccfgbeocbbjjladigcleg)
• Mahjong Deluxe (amnaljnjmgajgajelnplfmidgjgbjfhe)
• Crazy Freekick (bbjdlbemjklojnbifkgameepcafflmem)
• Slot Car Racing (bdnanfggeppmkfhkgmpojkhanoplkacc)
• Game SkySpeedster (cbnekafldflkmngbgmbnfmchjaelnhem)
• Master Chess (cdpiopekjeonfjeocbfebemgocjciepp)
• Hockey Shootout (cehdkmmfadpplgchnbjgdngdcjmhlfcc)
• Billiards Pro (clpgopiimdjcilllcjncdkoeikkkcfbi)
• Straight 4 (dohenclhhdfljpjlnpjnephpccbdgmmb)
• Web Client for game Drive Your Car (enmmilgindjmffoljaojkcgloakmloen)
• Street Basketball (fddajeklkkggbnppabbhkdmnkdjindlo)
• Horse Racing (dlpiookhionidajbiopmaajeckifeehn)
• Greyhound Racing (glofhphmolanicdaddgkmhfmjidjkaem)
• Hercules: Sports Legend (haochenfmhglpholokliifmlpafilfdc)
• Flicking Soccer (hbobdcfpgonejphpemijgjddanoipbkj)
• Web Client for Hockey Shootout – SideGame (heljkmdknlfhiecpknceodpbokeipigo)
• MASTER CHECKERS (hiofkndodabpioiheinoiojjobadpgmj)
• Watercraft Rush (hkbihmjhjmehlocilifheeaeiljabenb)
• Car Rush (hlmdnedepbbihmbddepemmbkenbnoegd)
• Goalkeeper Challenge (ijfmkphjcogaealhjgijjfjlkpdhhojk)
• Web Client for game Classic Bowling (jddinhnhplibccfmniaakhffpjpnaglp)
• Mini Golf World (kblomapfkjidbbbdllmofkcakcenkmec)
• Premium Horse Racing (klglejfbdeipgklgaepnodpjcnhaihkd)
• Tanks Game (kmiidcaojgeepjlccoalkdimgpfnbagj)
• Penalty Kicks (mmbkmjmlnhocfcnjmbchmflamalekbnb)
• Rail Maze Puzzle (nelbpdjegmhhgpfcjclhdmkcglimkjpp)
• Whack ’em All (pdgaknahllnfldmclpcllpieafkaibmf)
• Swimming Pro (phfkdailnomcbcknpdmokejhellbecjb)
• Web Client for game Cricket Batter (dcamdpfclondppklabgkfaofjccpioil)
• Chrome Client for Downhill Ski – SideGame (ocflhkadmmnlbieoiiekfcdcmjcfeahe)
• Web Client for French Roulette – SideGame (oejhnncfanbaogjlbknmlgjpleachclf)
• Tarot Side Panel (fibgndhgobbaaekmnneapojgkcehaeac)
• Gold Miner 2 (gipmochingljoikdjakkdolfcbphmlom)
• Game Crypto Merge (ljbgkfbiifhpgpipepnfefijldolkhlm)
• Web Client for game Fatboy Dream (lmgenhmehbcolpikplhkoelmagdhoojn)
• Hidden Kitty Game (medkneifmjcpgmmibfppjpfjbkgbgebl)
• Keno (mheomooihiffmcgldolenemmplpgoahn)
• Coin Miner 2 (nmegibgeklckejdlfhoadhhbgcdjnojb)
• Web Client for game Rugby Rush (cpnfioldnmhaihohppoaebillnambcgn)

Que faire si vous avez téléchargé une extension malveillante sur Chrome ?

• Vérifiez vos extensions Chrome en vous rendant sur chrome://extensions et supprimez celles qui correspondent. Pour ce faire, activez le mode développeur (en haut à droite) et comparez les IDs affichés avec la liste.
• Si vous avez utilisé “Telegram Multi-account” alors que vous étiez connecté à Telegram Web : terminez toutes vos sessions actives depuis l’application mobile : Paramètres > Appareils > Terminer toutes les autres sessions.
• Si vous vous êtes connecté via Google à l’une des extensions de jeux, casino ou barre latérale, considérez votre identité Google comme potentiellement compromise. Rendez-vous sur myaccount.google.com/permissions et révoquez tout accès tiers suspect.