Edgecution : extension Edge malveillante exploitant Native Messaging pour déployer un backdoor Python

📰 Source : BleepingComputer, publié le 24 juin 2026, basé sur une analyse technique de Zscaler.

🎯 Contexte général Des chercheurs de Zscaler ont documenté une campagne d’attaque sophistiquée utilisant une extension malveillante pour Microsoft Edge, baptisée Edgecution, attribuée à un initial access broker (IAB) lié à l’opération ransomware Payouts Kings.

🔓 Vecteur d’accès initial L’attaque débute par une ingénierie sociale via Microsoft Teams : l’attaquant se fait passer pour du personnel IT et dirige les victimes vers une fausse page “Outlook Updates Management Console” imitant Microsoft. Cette page propose des boutons de téléchargement qui :

• Téléchargent des composants malveillants
• Copient des scripts dans le presse-papiers
• Lancent des formulaires de collecte de credentials Microsoft 365 et Outlook

⚙️ Mécanisme technique Trois scripts sont utilisés pour déployer Edgecution : AutoHotKey, Windows batch script et PowerShell. Ces scripts :

• Configurent l’environnement
• Corrigent les en-têtes d’un archive ZIP malformé (pour contourner les produits de sécurité)
• Extraient les fichiers et créent une tâche planifiée lançant Microsoft Edge en mode headless

L’archive ZIP contient Python 3.13.3 embarqué et deux répertoires (extension et native).

🧩 Composants malveillants

1. Extension Edge malveillante (déguisée en “Edge Monitoring Agent”) : se connecte au C2, reçoit des instructions, s’exécute dans un navigateur Edge headless invisible, et communique via le protocole Chrome Native Messaging
2. Backdoor Python (exécuteur au niveau hôte) : reçoit les commandes relayées par l’extension et peut exécuter :
   • Commandes shell
   • Scripts PowerShell
   • Code Python arbitraire
   • Écriture de fichiers
   • Énumération des processus
   • Collecte d’informations système

🔗 Persistance Les scripts créent un fichier batch dans le répertoire native et un manifeste Chrome Native Messaging permettant au navigateur de se connecter à l’application native, assurant ainsi la persistance sur l’hôte compromis.

📌 Observations complémentaires Les deux composants malveillants contiennent des commandes inutilisées susceptibles d’être activées dans de futures versions. Zscaler a publié des IoCs incluant des serveurs C2, des hashes de l’extension malveillante et du backdoor Python.

📄 Type d’article : Analyse technique détaillée d’une nouvelle technique d’attaque, visant à documenter le fonctionnement d’Edgecution pour les équipes de sécurité et les plateformes CTI.

🧠 TTPs et IOCs détectés

Acteurs de menace

• Payouts Kings (cybercriminal) —

TTP

• T1566.002 — Phishing: Spearphishing Link (Initial Access)
• T1204.001 — User Execution: Malicious Link (Execution)
• T1059.001 — Command and Scripting Interpreter: PowerShell (Execution)
• T1059.003 — Command and Scripting Interpreter: Windows Command Shell (Execution)
• T1059.006 — Command and Scripting Interpreter: Python (Execution)
• T1176 — Browser Extensions (Persistence)
• T1053.005 — Scheduled Task/Job: Scheduled Task (Persistence)
• T1056.003 — Input Capture: Web Portal Capture (Collection)
• T1041 — Exfiltration Over C2 Channel (Exfiltration)
• T1027 — Obfuscated Files or Information (Defense Evasion)
• T1036 — Masquerading (Defense Evasion)
• T1057 — Process Discovery (Discovery)
• T1082 — System Information Discovery (Discovery)
• T1105 — Ingress Tool Transfer (Command and Control)

IOC

• Fichiers : Edgecution

Malware / Outils

• Edgecution (other)
• Python backdoor (backdoor)
• AutoHotKey script (tool)

🟡 Indice de vérification factuelle : 61/100 (moyenne)

• ✅ bleepingcomputer.com — source reconnue (liste interne) (20pts)
• ✅ 4390 chars — texte complet (15pts)
• ✅ 1 IOC(s) (6pts)
• ⬜ pas d’IOC vérifié (0pts)
• ✅ 14 TTPs MITRE identifiées (15pts)
• ⬜ date RSS ou approximée (0pts)
• ✅ acteur(s) identifié(s) : Payouts Kings (5pts)
• ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://www.bleepingcomputer.com/news/security/malicious-edge-extension-abuses-native-messaging-as-bridge-to-malware/

🖴 Archive : https://web.archive.org/web/20260625071119/https://www.bleepingcomputer.com/news/security/malicious-edge-extension-abuses-native-messaging-as-bridge-to-malware/