Baptisée Searchjacking, une vaste campagne de détournement de recherche a été mise au jour par le chercheur John Tuckner de Socket. Son rapport montre comment 319 extensions pour Google Chrome, avec quelque 13,4 millions d’installations, ont pour objectif de prendre le contrôle du moteur de recherche de l’utilisateur.
Déguisées en outils anodins, les extensions interceptent chaque requête pour la faire transiter par un serveur proxy avant de l’afficher sur Yahoo ou Bing, générant ainsi des revenus pour leurs créateurs.
Comment fonctionne ce système de détournement ?
Le mécanisme derrière ces extensions ne repose pas sur du code malveillant complexe. Les créateurs exploitent une fonctionnalité légitime de Chrome, chrome_settings_overrides, qui permet de modifier le moteur de recherche par défaut directement dans le manifeste de l’extension.
Lors de l’installation, une fenêtre d’autorisation s’affiche, mais sans préciser clairement où les recherches seront réellement acheminées.
Chaque recherche est d’abord envoyée vers des serveurs proxy contrôlés par les opérateurs. Cela leur permet non seulement de collecter un historique complet des recherches de l’utilisateur, mais aussi de mettre en place des redirections programmables.
Selon John Tuckner, les opérateurs peuvent ainsi » décider, par requête, où votre recherche atterrit « .
Quels sont les risques pour les utilisateurs ?
Au-delà de la simple fraude publicitaire, le détournement de recherche transforme le navigateur en un outil potentiellement dangereux. La destination finale d’une requête peut être modifiée à tout moment pour rediriger vers des pages de phishing ou des sites distribuant des malwares.
Avec une extension Predator Search, six recherches identiques ont mené à des destinations différentes, incluant Yahoo avec des balises partenaires, une page suspecte ou encore une erreur Cloudflare.
Cela démontre que l’opérateur peut rediriger sélectivement les utilisateurs en fonction de leur recherche, de leur localisation ou d’autres critères, attendant le moment opportun pour une attaque ciblée.
Comment ces extensions se propagent-elles ?
La campagne prospère grâce à une astuce simple : la plupart des extensions sont non répertoriées sur le Chrome Web Store, ce qui les rend invisibles aux recherches directes.
Leur propagation est assurée par des campagnes publicitaires agressives, souvent sous forme de pop-ups sur certains sites, en vantant de faux utilitaires comme un convertisseur PDF, un outil de recherche de manuels, de recherche sécurisée ou par IA.
Alors que ce genre de campagne n’est pas nouveau, le rapport publié sur le blog de Socket détaille les indicateurs de compromission de la campagne Searchjacking.