Une extension utile peut cacher une architecture risquée

Le cas Adblock for YouTube est intéressant parce qu’il n’a rien du cliché du malware visible. L’extension bloque réellement des publicités. Elle répond à un besoin simple. Elle est connue, bien notée, largement installée et présente sur le Chrome Web Store.

C’est précisément ce qui rend le sujet important.

Un utilisateur n’installe pas forcément une extension parce qu’elle est parfaite. Il l’installe parce qu’elle est pratique, populaire et visible. Dans le cas étudié, l’extension comptait plus de 10 millions d’utilisateurs et disposait d’un badge de mise en avant sur le Chrome Web Store. Sa fiche publique indiquait aussi des permissions larges, justifiées par le fonctionnement habituel d’un bloqueur de publicités.

Le problème n’est donc pas seulement : cette extension est-elle mauvaise ? La vraie question est plus large : que peut faire une extension de navigateur quand elle dispose d’autorisations étendues et qu’une partie de son comportement dépend d’une configuration distante ?

Un bloqueur de publicités a souvent besoin de lire les pages, d’analyser des requêtes, de masquer des éléments ou d’intervenir sur des contenus chargés depuis d’autres sites. Ces droits sont cohérents pour bloquer des publicités. Mais les mêmes droits peuvent aussi servir à observer des formulaires, modifier une page de connexion, lire du contenu sensible ou transmettre des informations à un serveur tiers.

C’est tout le paradoxe des extensions. Leur puissance fait leur utilité. Leur puissance fait aussi leur danger. C’est pour cette raison que les extensions Chrome malveillantes doivent être traitées comme un sujet de cybersécurité à part entière.

Le point technique : une capacité dormante d’injection JavaScript

Dans cette affaire, les chercheurs ne décrivent pas un virus classique qui s’exécute bruyamment. Ils décrivent une capacité dormante.

Le mécanisme repose sur un modèle de scriptlets, c’est-à-dire de petites fonctions JavaScript utilisées par certains bloqueurs de contenu pour adapter le comportement d’une page. Une fonction en particulier, trusted-create-element, peut créer un élément HTML dans la page. Si la configuration fournie demande de créer un élément de type script, alors ce script peut s’exécuter dans le contexte de la page.

Dit autrement : une extension peut recevoir une instruction distante qui lui dit quoi faire, où le faire, et avec quels paramètres. Tant que cette instruction n’est pas envoyée, le risque reste dormant. Mais s’il suffit d’un changement côté serveur pour déclencher l’exécution, la menace ne dépend plus d’une mise à jour visible de l’extension.

C’est ce point qui doit alerter les dirigeants et responsables informatiques. Une mise à jour d’extension peut être revue, détectée, signalée. Une configuration distante est plus discrète. Elle peut changer sans que l’utilisateur voie une notification claire.

Les chercheurs cités dans l’analyse publique indiquent que la capacité était dormante au moment de leur analyse, mais pas absente. Son activation nécessiterait une modification côté serveur, sans mise à jour de l’extension ni nouvel examen du store.

Pour une PME, la leçon est simple : le risque ne se limite pas aux logiciels installés sur Windows ou macOS. Le navigateur lui-même est devenu une surface d’attaque. Les extensions doivent être traitées comme des logiciels à part entière.

Le piège du contrôle trop permissif

Un autre point relevé concerne la manière dont l’extension décidait où s’activer.

Selon l’analyse relayée publiquement, l’extension était censée intervenir lorsqu’une page concernait YouTube. Mais la vérification ne se limitait pas strictement au nom de domaine. Elle pouvait se contenter de vérifier si la chaîne youtube.com apparaissait quelque part dans l’URL.

La différence paraît technique, mais elle est énorme.

Une vérification stricte demanderait : le site visité est-il réellement youtube.com ?

Une vérification faible revient plutôt à demander : est-ce que le texte youtube.com apparaît quelque part dans l’adresse ?

Dans ce second cas, des URL comme celles-ci peuvent devenir problématiques :

• facebook.com/page?ref=youtube.com
• bank.example.com/search?q=youtube.com
• internal.corp.com/redirect?from=youtube.com

Le site n’est pas YouTube. Pourtant, la chaîne youtube.com apparaît dans l’adresse.

Ce type d’erreur montre pourquoi une extension grand public n’est pas automatiquement adaptée à un environnement professionnel. Une petite approximation de développement peut devenir un contournement exploitable. Et dans une entreprise, l’extension ne s’exécute pas seulement sur des sites de loisirs : elle peut se retrouver face à des applications internes, des espaces clients, des interfaces d’administration ou des outils métiers.

Pourquoi les extensions Chrome malveillantes sont difficiles à repérer

Un malware classique finit souvent par laisser des traces : ralentissements, alertes antivirus, fichiers suspects, connexions inhabituelles, comportement instable.

Une extension problématique peut être beaucoup plus discrète.

Elle est installée volontairement par l’utilisateur. Elle fonctionne comme prévu. Elle ne demande pas forcément d’action inhabituelle. Elle se met à jour dans le cadre normal du navigateur. Elle peut conserver une bonne note publique. Elle peut même continuer à rendre service tous les jours.

C’est ce qui rend les extensions Chrome malveillantes difficiles à comprendre pour les équipes non techniques. L’utilisateur ne voit pas un pirate. Il voit un bouton dans son navigateur.

Le danger augmente encore lorsqu’il y a changement de propriétaire, changement d’infrastructure, ajout de logique distante ou réutilisation de composants sensibles. Dans le cas Adblock for YouTube, l’extension existe depuis plusieurs années, a changé de propriétaire, et des liens ont été relevés avec d’autres extensions adblock retirées du Chrome Web Store pour comportement malveillant.

Ce n’est pas une preuve automatique de compromission active. Mais c’est un faisceau de signaux faibles. Et en cybersécurité, les signaux faibles comptent.

Scénario PME : comment le risque devient concret

Prenons un cas simple.

Un collaborateur installe une extension pour bloquer les publicités sur YouTube. Il ne pense pas faire courir un risque à l’entreprise. Il ne télécharge pas un fichier douteux. Il ne contourne pas volontairement une règle. Il veut juste naviguer plus confortablement.

Le même navigateur lui sert ensuite à ouvrir sa messagerie professionnelle, son CRM, son outil de facturation, son espace bancaire et peut-être un portail d’administration.

Si l’extension dispose de droits étendus sur toutes les pages, elle se trouve potentiellement au contact de ces environnements. Si une configuration distante malveillante l’active un jour sur une page sensible, plusieurs scénarios deviennent possibles :

• lecture de contenu affiché dans une application métier ;
• capture de données saisies dans un formulaire ;
• modification discrète d’un bouton ou d’un champ ;
• récupération d’informations de session ;
• exfiltration de données vers un serveur externe.

Il ne faut pas présenter ces scénarios comme une certitude dans l’affaire actuelle. Le point documenté est une capacité dormante et un chemin d’injection possible. Mais pour une PME, cela suffit à justifier une action préventive.

Une entreprise n’attend pas qu’un extincteur brûle pour vérifier qu’il fonctionne.

Ce sujet rejoint directement celui des mots de passe enregistrés dans Chrome, car le navigateur concentre aujourd’hui une grande partie des accès sensibles de l’entreprise.

Extensions Chrome malveillantes : ce qu’il faut vérifier immédiatement

La première action est simple : faire l’inventaire.

Sur les postes sensibles, ouvrez Chrome, allez dans les extensions installées et recherchez les extensions de blocage publicitaire non validées. En particulier, vérifiez la présence d’Adblock for YouTube et de son identifiant cité dans les analyses :

• cmedhionkhpnakcndndgjdbohmhepckk

L’objectif de ce diagnostic est simple : repérer les extensions Chrome malveillantes, les extensions inconnues et les outils qui disposent de permissions trop larges sur les postes professionnels.

Si l’extension est présente sur un poste professionnel, la recommandation prudente est de la supprimer, puis de remplacer les extensions personnelles par une liste courte d’extensions validées.

Il faut ensuite élargir le contrôle. Une PME équipée de Google Workspace ou de Chrome Enterprise peut gérer les applications et extensions autorisées ou bloquées depuis l’administration. L’objectif n’est pas de tout interdire sans discernement. L’objectif est d’éviter que chaque collaborateur décide seul quels logiciels ont le droit de s’exécuter dans son navigateur professionnel.

Une bonne règle de base : toute extension qui peut lire ou modifier les pages visitées doit être considérée comme sensible.

La bonne approche contre les extensions Chrome malveillantes

Beaucoup de PME ont déjà une politique antivirus, une politique de mots de passe, parfois une politique de sauvegarde. Beaucoup moins ont une politique claire sur les extensions de navigateur.

C’est une erreur.

Le navigateur est aujourd’hui l’application la plus utilisée de l’entreprise. Il concentre les accès, les sessions, les mots de passe, les outils SaaS et les données clients. Une extension installée dans ce navigateur peut donc avoir plus de visibilité qu’un logiciel classique installé localement.

Cette approche doit s’intégrer à une stratégie plus large de cybersécurité PME.

Une gouvernance minimale peut tenir en cinq règles :

1. bloquer par défaut les extensions inconnues sur les postes professionnels ;
2. établir une courte liste d’extensions autorisées ;
3. valider les permissions avant ajout ;
4. diagnostiquer les extensions installées au moins une fois par trimestre ;
5. sensibiliser les collaborateurs avec une règle simple : une extension est un logiciel.

Cette gouvernance doit rester compréhensible. Inutile d’envoyer une note technique de trois pages aux salariés. Il suffit d’expliquer que certaines extensions peuvent lire les pages visitées, voir des données professionnelles, ou modifier ce qui s’affiche dans le navigateur. C’est concret, et cela suffit généralement à faire comprendre l’enjeu.

Quelles alternatives pour les collaborateurs ?

Le premier réflexe consiste à réduire le nombre d’extensions installées sur les navigateurs professionnels. Moins il y a d’extensions, plus la surface d’attaque diminue.

Chaque extension ajoutée représente un risque potentiel. Même une extension fiable aujourd’hui peut devenir problématique demain si son compte développeur est compromis, si elle est rachetée, si sa chaîne de mise à jour change ou si elle réclame de nouvelles permissions trop larges.

Pour le blocage publicitaire, la décision ne devrait pas être laissée à chaque collaborateur. Elle doit être prise au niveau de l’entreprise. Certaines organisations choisiront une extension open source connue, validée et déployée de manière centralisée. D’autres préféreront limiter les extensions au strict nécessaire et s’appuyer sur des protections réseau, DNS, navigateur ou endpoint.

Cette approche doit aussi être accompagnée par de la sensibilisation. Les collaborateurs doivent comprendre qu’une extension de navigateur n’est pas un simple accessoire : c’est un logiciel qui peut avoir accès aux pages consultées, aux formulaires saisis et parfois à des données professionnelles sensibles.

L’entreprise peut compléter cette démarche avec un cursus de formation cybersécurité piloté en interne, par exemple via une solution comme Kaspersky ASAP. Ce type de plateforme permet de renforcer les bons réflexes des équipes sur les risques courants : phishing, mots de passe, usages web, protection des données, messageries, appareils mobiles et comportements numériques à risque.

Le sujet des extensions Chrome peut alors être intégré dans la sensibilisation interne de l’entreprise : ne pas installer d’outil sans validation, vérifier les permissions demandées, éviter les clones d’extensions connues et signaler toute demande inhabituelle dans le navigateur.

Le choix des extensions et des outils de protection dépend du contexte de chaque entreprise, mais il ne doit jamais être improvisé. Il doit s’intégrer à une politique globale de protection antivirus entreprise et à une démarche continue de sensibilisation des collaborateurs.

Dans tous les cas, il faut éviter les clones, les extensions au nom trop générique, les outils qui promettent trop, et les extensions qui demandent un accès à tous les sites sans justification claire.

7 actions concrètes pour sécuriser les navigateurs en PME

Face aux extensions Chrome malveillantes, l’objectif n’est pas de bloquer tous les usages, mais de reprendre le contrôle. Une PME peut déjà réduire fortement son exposition avec quelques mesures simples.

1. faire l’inventaire des extensions installées sur les postes sensibles ;
2. supprimer les extensions inconnues, inutiles ou non validées ;
3. bloquer les extensions à risque via les règles d’administration quand c’est possible ;
4. mettre en place une liste d’extensions autorisées ;
5. vérifier les permissions demandées avant chaque installation ;
6. sensibiliser les collaborateurs aux risques liés au navigateur ;
7. réaliser un diagnostic trimestriel des extensions installées.

Ces 7 actions ne remplacent pas une stratégie complète de cybersécurité, mais elles permettent de traiter un angle mort fréquent : les outils installés directement dans le navigateur.

Ce que cette affaire dit vraiment

L’affaire Adblock for YouTube n’est pas seulement l’histoire d’une extension suspecte. C’est un rappel : la sécurité ne se joue plus seulement sur les serveurs, les antivirus et les pare-feux.

Elle se joue aussi dans le navigateur.

Pour une PME, le navigateur est devenu le bureau numérique. Les collaborateurs y travaillent, s’y authentifient, y consultent des données, y valident des paiements, y administrent des services. Tout ce qui s’exécute dans ce navigateur doit donc être gouverné.

La bonne nouvelle, c’est que la réponse est accessible. Il n’est pas nécessaire de lancer un grand projet de cybersécurité pour commencer. Un inventaire des extensions, une suppression des outils non validés, une liste blanche, une règle d’installation et une courte sensibilisation peuvent déjà réduire fortement le risque.

La mauvaise nouvelle, c’est que ce cas n’est probablement pas isolé. Les extensions de navigateur sont un terrain favorable aux abus : elles sont nombreuses, utiles, parfois peu maintenues, et souvent installées sans validation.

Face aux extensions Chrome malveillantes, la meilleure défense reste une combinaison simple : moins d’extensions, plus de contrôle, une validation interne et une sensibilisation régulière des équipes.

Le message pour les dirigeants est donc simple : ne laissez plus les extensions Chrome dans l’angle mort de votre sécurité.

Action recommandée

Commencez par un diagnostic de 30 minutes sur les postes clés : direction, comptabilité, administration, commerciaux, responsables techniques.

Cherchez les extensions inconnues, les adblocks non validés, les outils qui demandent l’accès à toutes les pages, et les extensions qui ne sont plus indispensables.

Puis formalisez une règle : dans l’entreprise, une extension de navigateur doit être approuvée avant installation.

Eur’Net peut vous aider à mettre en place cette gouvernance simplement : inventaire, suppression des extensions à risque, liste blanche, sensibilisation des équipes et contrôle périodique.

Pour suivre les prochaines alertes et dossiers pratiques, consultez aussi LeLab cybersécurité d’Eur’Net et notre page dédiée à la veille cybersécurité pour PME.

À faire maintenant : téléchargez notre checklist de diagnostic des extensions Chrome pour vérifier vos 10 premières machines en 30 minutes.