Fausse extension Google Docs hors ligne

L'extension Google Docs Offline contrefaite est un module complémentaire de navigateur malveillant conçu pour se faire passer pour un outil légitime. Déguisée en service Google de confiance, elle fait en réalité partie d'une campagne de cyberattaque plus vaste connue sous le nom de GlassWorm. Cette extension n'est pas installée directement par l'utilisateur ; elle est injectée silencieusement dans le navigateur par un logiciel malveillant préexistant, via un script malveillant. Une fois installée, elle se fond parmi les extensions légitimes, ce qui la rend difficile à détecter.

Infiltration silencieuse par attaques en chaîne

Cette menace se propage par le biais d'une attaque en chaîne sophistiquée exploitant des plateformes compromises telles que les dépôts GitHub, les paquets npm et les boutiques d'extensions de navigateur. Les cybercriminels à l'origine de GlassWorm intègrent du code malveillant dans des projets logiciels ou des mises à jour d'apparence légitime, les rendant ainsi inoffensifs.

Lorsqu'un utilisateur installe ou met à jour un logiciel infecté, le code caché s'active en arrière-plan et injecte une fausse extension dans le navigateur. Dans certains cas, le logiciel malveillant est diffusé par le biais de mécanismes de mise à jour trompeurs qui ressemblent fortement aux processus officiels, augmentant ainsi la probabilité d'une infection réussie.

Surveillance complète du navigateur et collecte de données

Une fois installée, la fausse extension fonctionne comme un cheval de Troie d'administration à distance (RAT), offrant aux attaquants un contrôle étendu sur l'activité du navigateur. Elle est capable de collecter un large éventail d'informations sensibles, notamment :

• Frappes au clavier, y compris les identifiants de connexion et les saisies de formulaires
• Cookies et données de session active provenant des sites web
• Code complet des onglets actifs du navigateur
• Captures d'écran de pages ouvertes
• Contenu du presse-papiers et signets enregistrés
• Historique de navigation (jusqu'à 5000 entrées)
• Informations sur l'appareil et le navigateur, y compris les données matérielles et GPU/WebGL
• Informations sur les extensions de navigateur installées

Toutes les données collectées sont regroupées et transmises aux cybercriminels, souvent sans aucun signe visible pour la victime.

Conséquences graves pour la sécurité personnelle et des entreprises

Le niveau d'accès conféré par cette extension malveillante expose un large éventail de données sensibles. Courriels privés, messages, documents et autres informations personnelles peuvent être compromis. Les activités financières sont particulièrement vulnérables, notamment les sessions bancaires en ligne, les informations de paiement et les comptes de cryptomonnaies accessibles via le navigateur.

Les attaquants peuvent exploiter ces données pour pirater des comptes, voler des fonds, usurper l'identité d'utilisateurs et mener d'autres opérations malveillantes. Installé sur un appareil professionnel, ce type de logiciel peut entraîner une faille de sécurité majeure au sein de l'entreprise, compromettant potentiellement les systèmes internes et les données confidentielles de l'entreprise.

Abus des contrôles de gestion du navigateur

Outre ses capacités d'espionnage, l'extension manipule la fonctionnalité « Géré par votre organisation » du navigateur. En temps normal, ce paramètre indique qu'un navigateur est contrôlé par un administrateur officiel, par exemple au sein d'une entreprise.

En exploitant cette fonctionnalité, le logiciel malveillant peut restreindre le contrôle de l'utilisateur, empêcher les méthodes de suppression standard et limiter l'accès aux paramètres du navigateur. Cette tactique permet à l'extension malveillante de persister et de rester indétectable pendant de longues périodes.

Une menace persistante et à haut risque

L'extension Google Docs Offline contrefaite représente un risque majeur en matière de cybersécurité, car elle peut se dissimuler, surveiller l'activité des utilisateurs et dérober des données hautement sensibles. Ses méthodes d'installation furtives et ses mécanismes de persistance la rendent particulièrement dangereuse.

Si l'extension est détectée, ainsi que tous les composants malveillants associés, doivent être immédiatement supprimés afin d'empêcher tout vol de données continu et toute compromission potentielle à long terme.