Browser Extension

📌 Contexte : Le 14 septembre 2026, Elastic Security Labs publie une analyse technique approfondie de REF9334, une opération de malware bancaire brésilien active depuis mai 2025. Le toolkit est nommé KREMLIN par son auteur (Kr3mlin4rt1st), sans lien avec la Russie. Sept campagnes ont été documentées sur 15 mois. 🎯 Ciblage : Les leurres imitent douze banques brésiliennes (Banco do Brasil, Caixa, Bradesco, Sicoob, C6 Bank, Inter, BTG, Safra, PagBank, PicPay, Santander, Mercado Pago). Les fichiers JavaScript utilisent des noms en portugais (COMPROVANTE, Extrato, PIX, etc.). 98,75% des 1 515 infections confirmées proviennent du Brésil. ...

🔍 Contexte Publié le 27 août 2026 par Socket Threat Research (source : socket.dev), cet article présente les résultats d’une investigation sur 19 extensions de navigateur malveillantes (18 Chrome, 1 Edge) publiées au cours des six derniers mois. La campagne, baptisée “Superior” par Socket, est tracée jusqu’en février 2024 et recoupe des recherches antérieures de DomainTools et Secure Annex. 🎯 Méthode d’infection Les extensions suivent toutes le même schéma de publication : ...

🔍 Contexte Publié le 22 juillet 2026 par Guardio Labs (Shaked Biner), cet article détaille la découverte et l’exploitation d’une chaîne de vulnérabilités dans l’extension Chrome Adobe Acrobat (environ 329 millions d’installations), baptisée HermeticReader. 🎯 Nature de la vulnérabilité La chaîne d’exploitation repose sur trois failles composées permettant une exfiltration cross-origin de WhatsApp Web sans interaction utilisateur au-delà d’une simple visite de page : Faille 1 – Écriture non authentifiée dans le stockage de l’extension : les ressources web accessibles de l’extension (frame.html, searchWidget.html, etc.) peuvent être embarquées en iframe par n’importe quelle page. Le JSON passé en query string est relayé au service worker comme message interne de confiance, permettant d’écrire n’importe quelle clé dans chrome.storage.local. Faille 2 – Absence de vérification de l’expéditeur : le service worker ne vérifie jamais l’objet sender des messages entrants, permettant à tout message de passer pour interne. Faille 3 – Activation du moteur Hermes via feature flag : l’écriture de floodgate-add = "dc-cv-hermes" dans le stockage local active le moteur d’intégration WhatsApp (Hermes) de l’extension. ⚙️ Déroulement de la kill chain Activation de Hermes via écriture arbitraire dans le stockage de l’extension Récupération du Tab ID de la page attaquante via un bypass de vérification de domaine (startsWith("www.google.")) permettant de lire le tabId depuis le DOM Prédiction du Tab ID WhatsApp : ouverture de web.whatsapp.com via window.open(), le Tab ID étant TabId + 1 (compteur monotone de Chrome) Envoi de commandes Hermes au content script WhatsApp via le service worker, en forgeant le champ mimeHandled et tabId Exfiltration DOM : injection d’un formulaire POST dans le DOM WhatsApp, déplacement du <body> entier dans un <option> sans attribut value, puis soumission du formulaire vers un serveur attaquant — WhatsApp soumet lui-même son DOM rendu (chats, contacts, messages, profil) 📦 Données exfiltrées Liste de chats rendus Noms de contacts Aperçus de messages Nom de profil Texte de la conversation ouverte Potentiellement des codes OTP reçus via WhatsApp 🛠️ Réponse et correction Guardio Labs a transmis la chaîne complète à Adobe PSIRT. Adobe a accusé réception, trié, corrigé et déployé un patch en un seul week-end. Le CVE CVE-2026-48294 a été émis quelques jours après. La version vulnérable identifiée est v26.5.2.1 (publiée le 3 juin 2026). ...

📰 Source : BleepingComputer, publié le 24 juin 2026, basé sur une analyse technique de Zscaler. 🎯 Contexte général Des chercheurs de Zscaler ont documenté une campagne d’attaque sophistiquée utilisant une extension malveillante pour Microsoft Edge, baptisée Edgecution, attribuée à un initial access broker (IAB) lié à l’opération ransomware Payouts Kings. 🔓 Vecteur d’accès initial L’attaque débute par une ingénierie sociale via Microsoft Teams : l’attaquant se fait passer pour du personnel IT et dirige les victimes vers une fausse page “Outlook Updates Management Console” imitant Microsoft. Cette page propose des boutons de téléchargement qui : ...

🔍 Contexte Rapport publié le 9 juin 2026 par MalExt (Jean-Marie R. / Toborrm9) via la plateforme Malicious Extension Sentry Project. L’analyse a été réalisée à l’aide du scanner automatisé MalExt Sentry, qui surveille en continu les stores d’extensions de navigateur. 🎯 Description de la campagne SearchJack est une campagne structurée de 23 extensions Chrome déceptives qui détournent silencieusement le moteur de recherche par défaut des utilisateurs. Chaque extension se présente sous une apparence légitime (imagerie satellite, outils de productivité, lecteurs d’actualités, cartes) mais son objectif réel est la génération de revenus via des programmes d’affiliation de recherche (principalement Yahoo Hosted Search). ...

🗓️ Contexte Source : Cyber Press (cyberpress.org), publié le 5 juin 2026. L’article s’appuie sur des recherches publiées par G DATA Software. Il documente la découverte de plusieurs extensions Chrome malveillantes ciblant les utilisateurs de plateformes d’IA générative. 🎯 Contexte de la menace En mars 2026, l’écosystème des extensions Chrome liées à l’IA comptait environ 115 millions d’utilisateurs. Des acteurs malveillants exploitent la confiance accordée aux outils de productivité IA pour déguiser des stealers en extensions légitimes. Les données ciblées incluent des conversations confidentielles, du code source propriétaire et des informations médicales personnelles. ...

🔍 Contexte Publié le 2 octobre 2026 sur Dark Reading par Nate Nelson, cet article relaie un rapport exclusif de Bay Area Labs (fondé par James Arnott) concernant une vulnérabilité critique découverte dans SConnect, un middleware d’authentification matérielle édité par le groupe Thales. 🎯 Produit concerné SConnect est une extension de navigateur (Chrome, Edge, App Store Apple) comptant plus d’1 million d’utilisateurs. Elle est utilisée pour l’authentification à : Le système bancaire mondial SWIFT (via les tokens USB 3SKey) Le portail d’identité nationale du Qatar (Tawtheeq) L’agence fiscale suédoise Skatteverket Divers portails bancaires et d’assurance 🐛 Détail technique de la vulnérabilité La vulnérabilité CVE-2026-18397 (CVSS 4.0 : 9.4/10 – critique) repose sur deux failles combinées : ...