Plus de 1,31 million d’utilisateurs ont tenté d’installer au moins une fois des extensions de navigateur Web malveillantes ou indésirables, selon les nouvelles découvertes de la société de cybersécurité Kaspersky.
« De janvier 2020 à juin 2022, plus de 4,3 millions d’utilisateurs uniques ont été attaqués par des logiciels publicitaires cachés dans les extensions de navigateur, soit environ 70 % de tous les utilisateurs touchés par des modules complémentaires malveillants et indésirables », a déclaré la société. a dit.
Pas moins de 1 311 557 utilisateurs entrent dans cette catégorie au premier semestre 2022, selon les données de télémétrie de Kaspersky. En comparaison, le nombre de ces utilisateurs a culminé en 2020 à 3 660 236, suivi de 1 823 263 utilisateurs uniques en 2021.
La menace la plus répandue est une famille de logiciels publicitaires appelés WebSearch, qui se font passer pour des visualiseurs PDF et d’autres utilitaires, et sont dotés de capacités pour collecter et analyser les requêtes de recherche et rediriger les utilisateurs vers des liens d’affiliation.
WebSearch se distingue également par la modification de la page de démarrage du navigateur, qui contient un moteur de recherche et un certain nombre de liens vers des sources tierces comme AliExpress qui, lorsqu’elles sont cliquées par la victime, aident les développeurs d’extensions à gagner de l’argent grâce à des liens d’affiliation.
« En outre, l’extension modifie le moteur de recherche par défaut du navigateur en search.myway[.]com, qui peut capturer les requêtes des utilisateurs, les collecter et les analyser », a noté Kaspersky. « En fonction de ce que l’utilisateur a recherché, les sites partenaires les plus pertinents seront activement promus dans les résultats de recherche. »
Un deuxième ensemble d’extensions implique une menace nommée AddScript qui dissimule sa fonctionnalité malveillante sous le couvert de téléchargeurs de vidéos. Bien que les modules complémentaires offrent les fonctionnalités annoncées, ils sont également conçus pour contacter un serveur distant afin de récupérer et d’exécuter un morceau de code JavaScript arbitraire.
Plus d’un million d’utilisateurs auraient rencontré des logiciels publicitaires au cours du seul premier semestre 2022, WebSearch et AddScript ciblant 876 924 et 156 698 utilisateurs uniques.
Des cas de logiciels malveillants voleurs d’informations tels que FB Stealer, qui visent à voler les identifiants de connexion Facebook et les cookies de session des utilisateurs connectés, ont également été découverts. FB Stealer a été responsable de 3 077 tentatives d’infection uniques au premier semestre 2022.
Le logiciel malveillant cible principalement les utilisateurs à la recherche de logiciels piratés sur les moteurs de recherche, FB Stealer étant livré via un cheval de Troie appelé NullMixer, qui se propage via des installateurs piratés pour des logiciels tels que SolarWinds Broadband Engineers Edition.
« FB Stealer est installé par le logiciel malveillant plutôt que par l’utilisateur », ont déclaré les chercheurs. « Une fois ajouté au navigateur, il imite l’extension Chrome inoffensive et standard Google Translate. »
Ces attaques sont également motivées financièrement. Les opérateurs de logiciels malveillants, après avoir obtenu les cookies d’authentification, se connectent au compte Facebook de la cible et le détournent en changeant le mot de passe, bloquant ainsi la victime. Les attaquants peuvent alors abuser de l’accès pour demander de l’argent aux amis de la victime.
Les résultats surviennent un peu plus d’un mois après que Zimperiumm a divulgué une famille de logiciels malveillants appelée ABCsoup qui se fait passer pour une extension de Google Translate dans le cadre d’une campagne de logiciels publicitaires ciblant les utilisateurs russes des navigateurs Google Chrome, Opera et Mozilla Firefox.
Pour garder le navigateur Web exempt d’infections, il est recommandé aux utilisateurs de s’en tenir à des sources fiables pour le téléchargement de logiciels, de vérifier les autorisations d’extension et de vérifier et désinstaller périodiquement les modules complémentaires que « vous n’utilisez plus ou que vous ne reconnaissez pas ».