Searchjacked : 319 extensions Chrome piratent les recherches de 13,4 millions d'utilisateurs

🔍 Contexte

Publié le 29 octobre 2026 par Socket (socket.dev), cet article de recherche en threat intelligence documente une campagne de détournement de moteur de recherche (searchjacking) via des extensions de navigateur Chrome, active depuis une décennie.

📊 Ampleur de la campagne

• 319 extensions Chrome identifiées, installées par ~13,4 millions d’utilisateurs
• Campagne active depuis 2016, avec des vagues successives jusqu’en 2026
• 264 nouvelles extensions identifiées dans cette investigation (8,7 millions d’utilisateurs supplémentaires)
• Si regroupées, ces extensions constitueraient l’une des 25 extensions Chrome les plus populaires

⚙️ Mécanisme technique

Les extensions exploitent le champ chrome_settings_overrides du fichier manifest pour remplacer le moteur de recherche par défaut sans nécessiter de permissions supplémentaires ni de code exécutable. Le flux de redirection est le suivant :

1. L’utilisateur effectue une recherche
2. La requête est interceptée et routée via un serveur proxy contrôlé par l’opérateur
3. Le proxy redirige vers Yahoo ou Bing avec des identifiants de partenaire de syndication (Yahoo : hspart= / hsimp= ; Bing : PC= / PTAG=)
4. L’opérateur perçoit une commission sur les revenus publicitaires

Le proxy constitue un point de capture complet des requêtes de recherche, lié à un identifiant unique par utilisateur. Il fonctionne comme un Traffic Distribution System (TDS) : les redirections sont décidées côté serveur, par requête, permettant de servir des pages de phishing, des leurres malveillants ou des pages de résultats falsifiées de manière sélective.

🕵️ Dissimulation et distribution

• La majorité des extensions sont unlisted (cachées) dans le Chrome Web Store
• Distribution via réseaux publicitaires (Google Ads, Bidbrain) sous forme de pop-overs/pop-unders sur des sites de faible qualité
• Branding superficiel : “Safe Web Search”, “PDF Manual Finder”, “AI search”, etc.
• Pages de destination partagées avec tracking de conversions

🏢 Opérateurs identifiés

🔬 Méthodologie de détection

La recherche s’appuie sur Censys, Urlscan et DecryptAds pour identifier les pages de destination, fingerprinter les campagnes et relier les opérateurs via les fichiers ads.txt, sellers.json et la transparence Google Ads.

📌 Type d’article

Publication de recherche en threat intelligence documentant une campagne de monétisation frauduleuse via extensions de navigateur, avec méthodologie de détection et liste exhaustive d’artefacts (206 IDs d’extensions avec dates de publication).

🧠 TTPs et IOCs détectés

Acteurs de menace

• Intango LTD (cybercriminal) —
• Tightrope Interactive (cybercriminal) —
• SecuryBrowse (unknown) —
• Free Planet VPN S.R.L (cybercriminal) —
• System1, Inc. (cybercriminal) —
• ValidClick / Inuvo (cybercriminal) —
• Vimaok Limited (cybercriminal) —
• Kinner Lake Ltd (cybercriminal) —
• BrightWorks Technology LLC (cybercriminal) —
• Capital Intellect, Inc. (cybercriminal) —
• Perion Network (cybercriminal) —
• Mutual Media (cybercriminal) —

TTP

• T1176 — Browser Extensions (Persistence)
• T1608.004 — Stage Capabilities: Drive-by Target (Resource Development)
• T1583.001 — Acquire Infrastructure: Domains (Resource Development)
• T1036 — Masquerading (Defense Evasion)
• T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)
• T1113 — Screen Capture (Collection)
• T1557 — Adversary-in-the-Middle (Collection)
• T1598 — Phishing for Information (Reconnaissance)

IOC

• Domaines : safesearchgame.com — VT · URLhaus · ThreatFox
• Domaines : search.safesearchgame.com — VT · URLhaus · ThreatFox
• Domaines : suggest.safesearchgame.com — VT · URLhaus · ThreatFox
• Domaines : extension-search.online — VT · URLhaus · ThreatFox
• Domaines : searchlio.net — VT · URLhaus · ThreatFox
• Domaines : searchtosearch.com — VT · URLhaus · ThreatFox
• Domaines : mcftink.com — VT · URLhaus · ThreatFox
• Domaines : newtabsearch.net — VT · URLhaus · ThreatFox
• Domaines : newtabhub.net — VT · URLhaus · ThreatFox
• Domaines : getsimplepdfsearch.com — VT · URLhaus · ThreatFox

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 31 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

🟢 Indice de vérification factuelle : 75/100 (haute)

• ✅ socket.dev — source reconnue (liste interne) (20pts)
• ✅ 35206 chars — texte complet (fulltext extrait) (15pts)
• ✅ 10 IOCs (IPs/domaines/CVEs) (10pts)
• ⬜ 0/3 IOCs confirmés externellement (0pts)
• ✅ 8 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ✅ acteur(s) identifié(s) : Intango LTD, Tightrope Interactive, SecuryBrowse (5pts)
• ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://socket.dev/blog/searchjacked