Google prépare une protection pour Chrome qui empêcherait les extensions imposées via des clés de politique locale de détourner la page Nouvel onglet ou le moteur de recherche par défaut. Cette faille fait les beaux jours des logiciels malveillants installés sur des ordinateurs personnels qui ne sont pas pris en charge par une entreprise.
Chrome autorise les entreprises à imposer des extensions et des réglages via des politiques internes, mais uniquement pour les ordinateurs professionnels d’une entreprise. Sur ces machines, le procédé est plutôt simple à mettre en pratique. Mais des malwares imitent ce système et l’exploitent sur des ordinateurs personnels. Sans autorisation, ils ajoutent des clés de politique locale et forcent l’installation d’une extension qui remplace la page Nouvel onglet ou change le moteur de recherche par défaut. Chrome croit alors qu’un administrateur a validé l’installation. La victime ne peut alors ni désinstaller ni désactiver l’extension. Le navigateur affiche parfois le message « Géré par votre organisation », alors qu’aucune entreprise ne possède la machine. C’est ce qui s’appelle avoir le sens du détail.
Selon Anunoy Ghosh, ingénieur chez Google, dans une note publiée sur la plateforme Chromium, des attaquants détournent ces installations forcées pour imposer un moteur de recherche ou une page Nouvel onglet piégés.
Un groupe malveillant a détourné des millions de navigateurs
Ces ordinateurs personnels appartiennent, selon Google, à des environnements « à faible confiance », car Chrome lit ces politiques stockées localement sans validation d’une autorité fiable, contrairement à un poste relié à un domaine ou à un système de gestion mobile.
Les équipes de Koi Security ont recensé ShadyPanda, un groupe malveillant actif depuis 2018 à l’origine de la transformation de 4,3 millions de navigateurs Chrome et Edge en outils de surveillance.
Le groupe a diffusé des centaines d’extensions saines en apparence, avant de les faire basculer, une fois leur base d’utilisateurs installée, vers des versions qui redirigeaient les recherches vers un moteur intermédiaire connu pour ses détournements, journalisaient les requêtes et lisaient des cookies pour fixer des identifiants persistants. L’extension Infinity V+ imitait un outil de personnalisation de la page Nouvel onglet et redirigeait également les recherches vers ce moteur intermédiaire, sans jamais le signaler à ses utilisateurs.
- Vitesse de navigation imbattable
- Écosystème d'extensions très riche
- Synchronisation multi-appareils fluide
Chrome annulerait l’installation et désinstallerait les extensions détournées
Alors bien sûr, on parle au conditionnel ici car les modifications restent en cours de revue au sein du projet Chromium et cette protection n’existe pas encore dans la version stable de Chrome.
Par ailleurs, une extension installée manuellement par l’utilisateur ne basculerait plus vers le statut d’extension verrouillée par une politique. L’utilisateur garderait le contrôle de cette extension, libre de la désinstaller ou de la désactiver. Si un appareil auparavant géré perdait son statut de confiance tout en conservant des clés de politique locale, Chrome désinstallerait automatiquement les extensions qui détournaient la page Nouvel onglet ou le moteur de recherche. Google ajouterait par ailleurs des mesures pour suivre la fréquence de ces détournements et l’efficacité des blocages.
Google a révisé ses règles sur les extensions Chrome après le scandale des commissions d’affiliation détournées par Honey, l’extension rachetée par PayPal en 2019. Depuis cet épisode, l’entreprise interdit les pratiques qui profitent à un éditeur sans bénéfice visible pour l’internaute. Avec cette nouvelle protection, Google applique une logique proche au système qui installe les extensions, plutôt qu’à leur seul contenu. Les administrateurs d’entreprises légitimes garderaient une politique dérogatoire pour désactiver la protection lorsqu’une extension imposée par leur organisation modifie la page Nouvel onglet ou le moteur de recherche.
