L’entreprise de cybersécurité Socket a identifié 319 extensions de navigateur qui détournent les recherches des internautes pour générer des revenus via des programmes d’affiliation. Selon son rapport, ces extensions auraient été installées par plus de 13 millions de personnes au cours d’une décennie. Elles touchent Google Chrome ainsi que les autres navigateurs compatibles avec ce type d’extension.
Le signe qui doit alerter est simple : Chrome redirige systématiquement les recherches vers un moteur que l’utilisateur n’a pas choisi, explique Presse Citron. Aucune de ces extensions ne demande de permission particulière. Elles se contentent d’exploiter une fonctionnalité parfaitement légitime du navigateur pour s’emparer du moteur de recherche par défaut.
D’après Socket, les recherches de l’utilisateur transitent d’abord par le serveur de l’opérateur de l’extension, qui voit ainsi l’historique complet des requêtes, souvent rattaché à un identifiant unique. L’entreprise n’exclut pas que certaines recherches puissent être redirigées vers des sites dangereux.
Ces extensions n’ont pas été créées au hasard. Socket évoque une poignée d’opérateurs organisés, dont l’objectif commun serait de prendre le contrôle du moteur de recherche par défaut, d’acheminer chaque requête via un serveur proxy suspect et de percevoir des commissions de parrainage.
Les internautes tombent généralement sur ces extensions via des publicités plutôt qu’en les recherchant eux-mêmes. Une fois installées, elles portent souvent des noms anodins, du type « Safe Web Search » ou « PDF Manual Finder », et finissent oubliées dans la liste des extensions du navigateur, invisibles au quotidien.
Une bonne partie de ces extensions seraient d’ailleurs cachées sur le Chrome Web Store de Google. Même quand elles en sont retirées, de nouveaux domaines et de nouveaux leurres réapparaissent rapidement, selon le rapport de Socket, qui affirme avoir observé l’efficacité de cette technique depuis une décennie entière. Le Chrome Web Store, écrit l’entreprise, n’arrive pas à suivre le rythme de ces extensions malveillantes.
Socket a mis en ligne une liste publique des extensions suspectes identifiées. L’entreprise recommande aux utilisateurs de passer en revue les extensions installées sur leur navigateur, d’y repérer celles qu’ils n’utilisent plus et qui correspondraient au profil décrit, puis de les supprimer sans attendre dès qu’un doute apparaît.
