Alerte aux millions d’utilisateurs de Chrome : le hack du syncjacking fait des ravages !

Google s’efforce de rassurer ses utilisateurs quant à la sécurité de son navigateur Chrome en multipliant les mises à jour de sécurité, trois en l’espace de trois semaines. En dépit d’une décisions inattendue d’ouvrir une nouvelle boutique web pour entreprises afin de contrer les menaces provenant d’extensions malveillantes, de récentes recherches révèlent qu’il est possible de compromettre son appareil via n’importe quelle extension Chrome. Voici ce qu’il est essentiel de savoir.

Le Problème de Sécurité des Extensions pour Chrome

Comme je l’ai rapporté le 29 décembre, des pirates informatiques utilisaient des extensions de navigateur Chrome compromises pour contourner les protections d’authentification à deux facteurs. Au moins 35 entreprises ont vu leurs extensions Chrome remplacées par des versions malveillantes, dans ce qui semblait être une campagne de piratage coordonnée dotée d’une certaine sophistication. À ce moment-là, l’équipe de sécurité de Google Chrome avait assuré que divers moyens de protection étaient en place, incluant un résumé personnalisé de toutes les extensions installées, des politiques de révision stricte avant la publication des extensions, ainsi qu’un suivi constant par la suite. “Si l’équipe constate qu’une extension présente un risque sévère pour les utilisateurs de Chrome”, a déclaré Google, “elle est immédiatement retirée de la Boutique Web Chrome, et l’extension est désactivée sur tous les navigateurs où elle a été installée.”

À présent, les chercheurs de SquareX Labs confirment qu’“une prise de contrôle totale du navigateur et de l’appareil est possible avec des extensions de navigateur”, et pas seulement celles qui sont malveillantes ; le piratage “nécessite uniquement des capacités de lecture/écriture de base présentes dans la plupart des extensions”, ce qui met les utilisateurs “à risque d’attaques de syncjacking.”

Méthodologie de l’Attaque Syncjacking dans Chrome

Les attaques de syncjacking dans le navigateur Chrome se déroulent en trois phases : le détournement de profil, de navigateur et d’appareil. Pour commencer, l’attaquant doit d’abord enregistrer un domaine à un compte Google Workspace puis désactiver les protections 2FA. Une extension de navigateur fonctionnelle est ensuite créée et publiée sur la boutique Chrome, dans le but de récupérer ces informations de profil plus tard. L’extension est ensuite poussée vers la victime via les nombreuses techniques de phishing existantes. “Étant donné qu’elle ne possède que des capacités de lecture/écriture de base disponibles dans la plupart des extensions populaires”, indiquent les chercheurs, “la victime installe l’extension”, supposant qu’elle est sans danger. “Au fil du temps,” poursuivent-ils, “la présence de l’extension s’efface au profit des routines quotidiennes de la victime.”

À un moment donné, l’extension se connecte au domaine enregistré, récupère les identifiants et termine les étapes pour connecter la victime à l’un des comptes créés précédemment. Le résultat ici est que l’utilisateur est désormais connecté à un profil géré par l’attaquant, ce qui lui permet de désactiver les mesures de sécurité afin de rendre le navigateur plus vulnérable aux attaques. C’est là que les choses deviennent réellement intéressantes.

“L’attaquant ouvre la page d’assistance légitime de Chrome sur la synchronisation”, expliquent les chercheurs, “et utilise l’extension malveillante pour modifier le contenu de la page, convaincant ainsi la victime de finaliser la synchronisation.” Et voilà : toutes les données stockées localement, y compris les mots de passe et l’historique de navigation de Chrome, sont désormais téléchargées sur le compte contrôlé par le pirate. Mais cela ne s’arrête pas là, ajoutent les chercheurs, “la prochaine étape consiste à transformer l’ensemble du navigateur en un navigateur géré par l’attaquant.” Cela avant de prendre le contrôle de l’ensemble de l’appareil.

Atténuer les Attaques de Syncjacking dans Chrome

L’attaque de syncjacking est particulièrement dangereuse, prévient le rapport de SquareX Labs, car, contrairement aux attaques d’extension précédemment signalées nécessitant une ingénierie sociale élaborée, “les adversaires n’ont besoin que de permissions minimales et d’un petit pas d’ingénierie sociale, avec presque aucune interaction de l’utilisateur requise pour exécuter cette attaque.” Pour atténuer les attaques, SquareX recommande d’utiliser une solution native au navigateur qui comprend le comportement d’exécution de chaque extension, ces extensions Chrome fonctionnant entièrement dans le navigateur et ne pouvant donc pas être identifiées par leurs permissions ou les sites impliqués. J’ai contacté Google pour obtenir une déclaration.