Des extensions Edge jouaient les espions : comment 119 modules ont volé vos données en se cachant dans des images
Vous avez peut-être installé une extension sur votre navigateur Edge pour bloquer des publicités, traduire des pages ou mémoriser des mots de passe. Pratique, non ? Mais saviez-vous que certaines de ces petites applications peuvent cacher un espion silencieux ? C’est exactement ce qui vient de se passer avec une campagne baptisée StegoAd, et l’histoire mérite qu’on s’y attarde.
Des espions déguisés en assistants : comprendre StegoAd
Microsoft a récemment retiré 119 extensions de son magasin officiel Edge après avoir découvert qu’elles faisaient partie d’une campagne malveillante coordonnée. Ces extensions semblaient tout à fait normales — elles proposaient des services utiles — mais elles cachaient en réalité un programme malveillant, qu’on appelle un malware (un logiciel conçu pour nuire ou espionner).
Ce qui rend cette attaque particulièrement sournoise, c’est la technique utilisée : la stéganographie. Ce mot compliqué désigne une méthode très ancienne qui consiste à dissimuler un message secret à l’intérieur d’un objet anodin. Imaginez que vous écriviez un mot codé avec de l’encre invisible sur une carte postale banale : le facteur ne voit rien d’anormal, mais le destinataire sait comment révéler le message. Ici, le code malveillant était dissimulé dans des images et des polices de caractères affichées sur des sites web.
Concrètement, une fois installées, ces extensions récupéraient discrètement vos identifiants de connexion (noms d’utilisateur, mots de passe) et vos cookies — ces petits fichiers qui permettent à un site de se souvenir que vous êtes connecté. Avec ces données, les attaquants pouvaient potentiellement accéder à vos comptes en ligne comme si c’était eux qui étaient derrière votre écran.
La bonne nouvelle : Microsoft a agi et les extensions ont été supprimées. Mais si vous les aviez installées, les dégâts ont peut-être déjà eu lieu. D’où l’importance de rester vigilant.
Zone technique — pour les curieux et les passionnés
🤓 Pour aller plus loin : La stéganographie, l’art du camouflage numérique
La stéganographie, c’est un peu la technique ninja de la dissimulation d’information. Elle remonte à l’Antiquité — Hérodote raconte comment on tatouait des messages sur le crâne rasé d’un esclave, puis on attendait que les cheveux repoussent avant de l’envoyer. Classe, mais peu pratique à l’ère du temps réel.
Numériquement, la technique exploite les bits de poids faible (LSB — Least Significant Bits) des pixels d’une image. Modifier ces bits change à peine la couleur perçue à l’œil nu, mais permet d’encoder des données entières. Un fichier PNG de quelques centaines de Ko peut ainsi transporter une charge utile sans déclencher les antivirus classiques qui analysent les signatures de code — puisque techniquement, il s’agit juste… d’une image. 🖼️
C’est le genre d’attaque qui aurait fait kiffer les scénaristes de Mr. Robot — et pour cause, elle rappelle les techniques APT (Advanced Persistent Threat) utilisées par des acteurs étatiques. La voir déployée à l’échelle d’une campagne d’extensions grand public, c’est un saut qualitatif inquiétant dans la démocratisation des techniques offensives avancées.
Ce qui est aussi intéressant ici, c’est le vecteur choisi : les extensions de navigateur. Elles tournent avec des privilèges élevés, accèdent au DOM, aux requêtes réseau, aux cookies — un rêve pour n’importe quel attaquant. Depuis l’affaire des extensions Chrome corrompues de 2017, on savait que ce vecteur était sous-surveillé. StegoAd confirme que la leçon n’a pas été retenue.
Ce que vous pouvez faire pour vous protéger 💡
– Faites le ménage dans vos extensions : ouvrez Edge, tapez `edge://extensions` dans la barre d’adresse et désinstallez tout ce que vous n’utilisez plus ou ne reconnaissez pas.
– Installez uniquement des extensions populaires et bien notées : un module avec des milliers d’avis positifs et un éditeur identifiable est bien plus fiable qu’une petite extension inconnue, même gratuite.
– Changez vos mots de passe si vous avez un doute : commencez par vos comptes importants (email, banque, réseaux sociaux) et activez la double authentification partout où c’est possible.
– Utilisez un gestionnaire de mots de passe reconnu : des outils comme Bitwarden ou 1Password génèrent des mots de passe uniques par site — si l’un est volé, les autres restent protégés.
– Maintenez votre navigateur à jour : les mises à jour corrigent des failles de sécurité. Laisser Edge (ou tout autre navigateur) en retard, c’est comme laisser une fenêtre entrouverte la nuit.
La vigilance, meilleur antivirus qui soit
StegoAd rappelle que les menaces les plus efficaces sont souvent les plus discrètes — et que même les plateformes officielles ne sont pas infaillibles. Rester informé et adopter quelques bons réflexes suffit souvent à rester hors de portée.
Et vous, faites-vous régulièrement le point sur vos extensions installées, ou c’est le genre de chose qui attend « le bon moment » ?
Source : IT-Connect
