Désinstallez ces 108 extensions Chrome malveillantes
dès maintenant.

L’équipe de recherche sur les menaces de Socket, société américaine spécialisée dans la sécurité de la chaîne d’approvisionnement logicielle, a publié son analyse le 13 avril 2026 sous la signature du chercheur Kush Pandya. Elle recense 108 extensions présentes sur le Chrome Web Store officiel.

Les catégories choisies visent des publics différents : clients Telegram en panneau latéral, machines à sous et jeux de casino, modules pour YouTube et TikTok, outil de traduction, utilitaires de page. Chaque extension remplit réellement la fonction annoncée. Un jeu de machine à sous fonctionne, un panneau Telegram affiche bien une interface de discussion. La façade légitime existe, et c’est précisément ce qui rend la campagne efficace.

Le total cumulé avoisine 20 000 installations. Le volume peut sembler modeste au regard de l’audience de Chrome, mais la nature des données visées compense largement ce chiffre. Les extensions liées à Telegram représentent à elles seules environ 3 035 installations.

Les 108 extensions sont publiées sous cinq identités d’éditeur : Yana Project, GameGen, SideGames, Rodeo Games et InterAlt. Cette dispersion vise à limiter les dégâts d’un signalement : le retrait d’un compte ne fait pas tomber l’ensemble du dispositif.

La preuve du lien entre ces cinq comptes ne repose pas sur une intuition. Les 54 extensions qui utilisent l’authentification Google s’appuient sur 56 identifiants clients distincts, tous rattachés à seulement deux projets Google Cloud. Cinq éditeurs affichés, deux projets réels. Le rapprochement est mécanique.

Toutes les extensions communiquent par ailleurs avec un même serveur, hébergé sur un VPS Contabo. Le nom de domaine associé a été enregistré le 30 avril 2022. Un sous-domaine sert de portail de paiement, et chaque victime reçoit un identifiant dans une base de gestion interne : la mécanique décrite est celle d’une plateforme de logiciel malveillant vendu comme service, où l’accès aux identités et aux sessions volées se monnaie.

C’est le point le plus mal rapporté de cette affaire. De nombreuses reprises ont annoncé un vol de jetons d’authentification Google, laissant entendre que les opérateurs pouvaient lire les messages et les fichiers des victimes. Le rapport dit autre chose.

Le déroulé technique est le suivant. Au premier clic sur le bouton de connexion, l’extension demande un jeton via l’interface d’identité de Chrome. L’utilisateur voit un écran de connexion Google parfaitement standard. L’extension utilise ce jeton localement pour interroger le service d’information utilisateur de Google, récupère le profil, puis transmet au serveur de l’opérateur quatre champs seulement : adresse électronique, nom, adresse de la photo de profil et identifiant de compte.

Socket est explicite : le jeton reste dans le navigateur et ne parvient jamais au serveur. Ce qui fuit est un enregistrement d’identité permanent, pas un accès au compte. La nuance compte, parce qu’elle change entièrement la réaction appropriée. Il n’y a pas de compte Google à récupérer en urgence ; il y a une identité durablement associée à un profil de victime dans une base criminelle.

Une extension se détache nettement des 107 autres : Telegram Multi-account. Elle injecte un script dans les pages de Telegram Web dès leur chargement, extrait l’intégralité du stockage local de la page ainsi que le jeton qui authentifie la session, puis transmet le tout au serveur de l’opérateur.

L’envoi n’est pas ponctuel. Une boucle répète l’opération toutes les quinze secondes, tant que l’onglet reste ouvert. Un signal de présence interroge par ailleurs le serveur toutes les trente secondes, ce qui donne à l’opérateur une vue en temps réel du nombre de sessions disponibles.

La fonction la plus intrusive va dans l’autre sens. L’extension accepte une commande entrante qui efface le stockage local de la victime, y écrit des données de session fournies par l’opérateur, puis recharge Telegram. Le navigateur de la victime bascule alors sur un autre compte, sans qu’elle en soit avertie. Une session volée donne accès aux messages, aux contacts et aux comptes liés, sans mot de passe ni code de double authentification.

Au moment de la publication du rapport, les 108 extensions étaient toujours disponibles au téléchargement. Socket avait transmis ses demandes de retrait à l’équipe de sécurité du Chrome Web Store et au service de navigation sécurisée de Google. Aucune communication publique de Google sur cette campagne n’a été identifiée depuis, ce qui laisse la vérification côté utilisateur comme seule mesure fiable.

Le rapport relève trois manquements aux règles de la boutique. Chaque fiche affirmait que les données ne sont pas utilisées à des fins étrangères à la fonction annoncée, ce que le code contredit directement. L’usage des données de profil obtenues par authentification Google est encadré par des conditions d’utilisation limitée, incompatibles avec un envoi vers un serveur tiers non déclaré. Enfin, l’injection de bandeaux publicitaires sans mention dans la fiche viole la politique publicitaire.

La campagne s’inscrit dans une série. Socket a documenté en juin 2026 un réseau de 152 extensions générant du faux trafic de recherche depuis 38 comptes éditeurs, puis en août 2026 dix-neuf extensions Chrome et Edge distribuant un videur de portefeuille et des charges de vol d’identifiants, retirées cette fois par Google et Microsoft. La logique rejoint celle des attaques par la chaîne d’approvisionnement logicielle : compromettre un maillon de confiance plutôt que d’attaquer chaque cible.