152 extensions Chrome espionnent vos données et faussent le trafi

Pas moins de 152 extensions Chrome déguisées en fonds d'écran animés ont été surprises à collecter des données utilisateurs et à fabriquer du faux trafic Google. Une opération coordonnée, découverte par les chercheurs de Socket, qui touche potentiellement plus de 105 000 utilisateurs.

Vous avez installé un fond d'écran animé sur Chrome il y a quelques semaines, celui avec des voitures, un personnage d'anime ou le maillot de votre club préféré ? C'est exactement le genre d'extension que les chercheurs en sécurité de Socket's Threat Research Team viennent d'épingler. Leur rapport révèle une famille de 152 extensions Chrome qui, derrière une promesse de joli fond d'écran, s'affairaient discrètement à logger vos données et à tromper les algorithmes publicitaires de Google.

Un mensonge affiché en vitrine

Sur le Chrome Web Store, les fiches de ces extensions affichent noir sur blanc : « nous ne collectons pas vos données ». Sauf que la politique de confidentialité liée, celle que personne ne lit jamais (et c'est bien calculé), raconte une toute autre histoire. Elle admet explicitement la collecte d'adresses IP, de type de navigateur, de fournisseur d'accès à Internet, d'horodatages, de pages référentes et de compteurs de clics. Ces informations sont ensuite partagées avec Google AdSense, DoubleClick, Google Analytics et des partenaires publicitaires non nommés.

Les 152 extensions sont réparties sur 38 comptes éditeurs distincts et trois marques : tabplugins[.]com, yowgames[.]com et chromewallpaper[.]com. Cette dispersion n'est pas un hasard : si Google bannit un compte, les 37 autres continuent de tourner tranquillement. Une architecture en hydre, difficile à éradiquer d'un seul coup.

Parmi les extensions identifiées, on trouve des noms bien ciblés pour séduire un public jeune et connecté : Neymar – Football Live Wallpaper, Satoru Gojo Manga Live Wallpaper, Hello Kitty Wallpapers HD New Tab, Lamine Yamal Wallpapers HD Football ou encore BMW M3 Neon Night Drive Live Wallpaper. Des thèmes qui font mouche, notamment auprès des utilisateurs qui personnalisent leur onglet par défaut, une habitude très répandue.

Fausses visites Google et traces effacées à la volée

Le volet le plus retors de l'affaire concerne un sous-ensemble de 54 extensions bâties sur le modèle tabplugins. À chaque installation, le service worker en arrière-plan ouvre automatiquement un onglet vers tabplugins[.]com avec le paramètre utm_source=google&utm_medium=organic. Résultat : les outils d'analytics enregistrent la visite comme si l'utilisateur avait trouvé le site en tapant une requête sur Google, pas en installant une extension. De quoi gonfler artificiellement la popularité du domaine aux yeux des annonceurs.

À la désinstallation, l'extension tire une dernière salve : elle envoie une requête formatée exactement comme un vrai clic sur un résultat Google, avec les jetons signés que le moteur de recherche utilise en interne. Le système d'analyse ne voit qu'un utilisateur humain qui aurait cliqué sur un lien organique. Attention tout de même à ne pas surestimer la dangerosité directe pour l'appareil : selon Socket, le risque principal pour l'utilisateur est l'enrôlement dans une mesure d'audience trompeuse, pas une compromission système.

Ces extensions présentent aussi un comportement anti-forensique : à chaque démarrage du service worker, le script supprime toutes les bases IndexedDB accessibles. Actuellement, ces bases sont vides dans la plupart des variantes (les paramètres sont stockés ailleurs), donc la suppression ne détruit rien de concret. Mais elle trahit une capacité intégrée à effacer des preuves futures, et ça, c'est pas rien.

Vérifier vos extensions Chrome via le menu Paramètres > Extensions
Supprimer toute extension de type "new tab" ou "live wallpaper" dont vous ne connaissez pas précisément l'éditeur
Méfier-vous des extensions qui demandent à remplacer votre page Nouvel onglet ou votre moteur de recherche
Consulter la politique de confidentialité liée, pas seulement les déclarations affichées sur le Store

Reste à voir si Google prendra des mesures systémiques au-delà des simples suppressions au cas par cas. Sur les 152 extensions identifiées, 11 avaient déjà été retirées au moment de la publication du rapport. Les 141 restantes étaient toujours en ligne, preuve que les mécanismes de revue automatique du Chrome Web Store montrent leurs limites face à une campagne bien orchestrée.