Des extensions Chrome déguisées en convertisseurs PDF détournaient vos recherches web

Six fois la même recherche, quatre destinations différentes. Le chercheur John Tuckner, de la société de sécurité Socket, a testé l'extension Chrome « Predator Search », installée environ 50 000 fois. Ses requêtes ont abouti sur Yahoo, sur une page du site searchlio.net, sur une chaîne de redirections finissant sur Yahoo, ou sur une page d'erreur. « L'extension n'a jamais changé ; c'est le serveur intermédiaire qui choisissait chaque destination au moment de la recherche », résume-t-il.

Predator Search n'est qu'un exemple. Dans un rapport publié le 29 octobre, Socket recense 319 extensions pour Chrome qui remplacent le moteur de recherche de l'utilisateur, avec environ 13,4 millions d'installations cumulées sur une décennie. Ce rapport prolonge des travaux antérieurs en y ajoutant 264 extensions, qui totalisent environ 8,7 millions d'utilisateurs.

Un convertisseur PDF qui choisit votre moteur de recherche

Ces extensions se présentent comme des convertisseurs PDF, des outils pour trouver un mode d'emploi, une « recherche sécurisée » ou une recherche par IA. Une fois installées, elles changent le moteur de recherche par défaut. Ce réglage est prévu par Chrome lui-même : l'une des extensions analysées ne contient aucune ligne de code et ne demande aucune autorisation. Chrome demande seulement de confirmer le changement de moteur, sans indiquer clairement où partiront les recherches.

Les recherches passent ensuite par un serveur de l'opérateur avant d'arriver sur Bing ou Yahoo, qui lui reversent une commission. Selon Socket, ce détour lui permet aussi de collecter tout l'historique de recherche, souvent rattaché à un identifiant unique.

Beaucoup de ces extensions ne sont pas visibles dans la recherche de la boutique Chrome. Elles sont proposées par des fenêtres publicitaires sur des sites de faible qualité. Socket identifie plusieurs grappes. Parmi celles dont l'opérateur est inconnu figurent « SecuryBrowse » (58 extensions, environ 4,9 millions d'utilisateurs, aux noms rassurants comme Fire Shield) et « Bing-Search » (37 extensions, environ 2,2 millions). D'autres sont reliées à des sociétés publicitaires, dont Intango, à qui le rapport attribue 111 extensions.

Plus qu'une fraude à la publicité

Le risque dépasse les commissions publicitaires. Comme la destination se décide sur le serveur, l'opérateur peut la changer sans mettre à jour l'extension. Il pourrait alors envoyer ses utilisateurs vers une page d'hameçonnage ou un téléchargement piégé.

Selon le chercheur, cité par BleepingComputer, la plupart de ces extensions avaient été retirées de la boutique Chrome au moment de la publication, mais de nouvelles apparaissent sans cesse. Google n'avait pas répondu aux questions du média. Socket ajoute que des extensions similaires ont été vues sur Edge.

Les bons réflexes

Le piège ne repose sur aucune faille : il suffit de cliquer sur « Ajouter à Chrome ».

• Ouvrez chrome://extensions et supprimez tout ce que vous n'utilisez pas, en particulier les outils PDF, météo ou « recherche sécurisée » installés depuis une publicité.
• Dans les paramètres, rubrique « Moteur de recherche », vérifiez que le moteur par défaut est bien celui que vous avez choisi.
• Comparez vos extensions avec les noms et les grappes décrits dans le rapport de Socket.
• En entreprise, n'autorisez que les extensions validées, grâce aux règles de gestion de Chrome.
• Ne vous fiez pas à l'absence d'autorisations demandées : ici, elle ne prouve rien.

Reste à savoir si Google modifiera ce réglage de Chrome, que des extensions sans une ligne de code peuvent utiliser. Socket estime que Google n'a peut-être pas de raison urgente de surveiller trop largement ces pratiques, puisqu'il peut profiter de la hausse des publicités diffusées et des extensions publiées.