Une campagne de « phishing » se termine par l’injection de code malveillant dans les extensions Chrome à Noël

MADRID, 30 déc. (Portail/EP) –

Un cyber-attaquant a réussi à installer des modifications malveillantes d’extensions légitimes du navigateur Chrome dans le cadre d’une campagne de « phishing » déployée à Noël, qui a touché la société de sécurité Cyberhaven.

Cyberhaven est une entreprise de cybersécurité qui a développé une extension pour Chrome pour renforcer la sécurité des utilisateurs lors de l’utilisation de ce navigateur, qui cependant, à cause d’une campagne malveillante, a diffusé pendant quelques heures une version modifiée non sécurisée.

Cela est dû à la campagne de « phishing » qui a permis à un cyberattaquant d’activer un code malveillant sur l’extension légitime à Noël, ce qui a mis en danger les utilisateurs de la version du navigateur dont la mise à jour automatique était activée.

Dans leur cas, une attaque de phishing a réussi à obtenir les identifiants d’accès au magasin d’extensions Chrome auprès d’un employé de Cyberhaven, ce qui a facilité la publication de l’extension malveillante (v24.10.4).

L’équipe de sécurité de Cyberhaven a détecté le changement et « a supprimé le package malveillant dans les 60 minutes », a confirmé dans votre blog officieloù il explique la situation. Ils ont ensuite informé les utilisateurs, en commençant par ceux concernés, de l’incident et ont publié une version mise à jour exempte de code malveillant (v24.10.5).

Cyberhaven n’a pas été le seul touché par la campagne de « phishing », comme le montre l’enquête qu’ils ont ouverte. “Nos premières conclusions montrent que l’attaquant a ciblé les connexions à des plateformes spécifiques d’intelligence artificielle et de publicité sur les réseaux sociaux”, notent-ils.

Le co-fondateur et CTO de Nudge Security, Jaime Blasco, estime également que davantage d’extensions sont concernées, à en juger par son analyse d’adresse IP. “Il y a plus de domaines créés dans le même intervalle de temps qui aboutissent à la même adresse IP” que celui de l’extension malveillante Cyberhaven.

En fait, Blasco cite que les extensions ParrotTalks, Uvoice et VPNCity font partie des personnes concernées, comme indiqué dans la rouge sociale X (Twitter d’Antigua).

En ce qui concerne la compromission de l’extension Chrome de Cyberhaven, j’ai des raisons de croire que d’autres extensions sont concernées. En pivotant en fonction de l’adresse IP, davantage de domaines sont créés dans la même plage horaire et se résolvent avec la même adresse IP que Cyberhavenext.[.]pro (suite)

– Jaime Blasco (@jaimeblascob) 27 décembre 2024