PEEP : une fausse extension transforme Chrome et Edge en porte dérobée

Des chercheurs de la société SOCRadar ont documenté un outil malveillant baptisé PEEP, capable de transformer Chrome et Edge en points d'accès persistants sur une machine déjà compromise. Il ne s'agit pas d'une faille dans les navigateurs eux-mêmes, mais d'un module qui se fait passer pour une extension inoffensive une fois qu'un attaquant dispose déjà d'un accès administrateur ou d'une exécution de code sur le poste visé.

Une fausse extension qui trafique les vérifications internes

PEEP se présente sous la forme d'une extension nommée « Smart Bookmarks ». Pour contourner les contrôles d'intégrité que Chromium applique à ses profils, des scripts PowerShell (install_silent.ps1, patch_secure_prefs.ps1, force_enable.ps1) activent le mode développeur et modifient directement le fichier Secure Preferences, censé empêcher l'installation de modules non validés par le Web Store. L'extension s'injecte ensuite dans le profil du navigateur sans jamais transiter par la boutique officielle.

Un pont entre le sandbox du navigateur et le système

Une fois en place, PEEP interroge son serveur de commande toutes les 30 secondes, en clair, via HTTP. Il aspire l'historique de navigation, les cookies et les métadonnées de l'onglet actif. Mais l'élément le plus problématique est ailleurs : un exécutable natif, nm_host.exe, utilise le mécanisme de « native messaging » pour faire sortir l'attaquant du bac à sable du navigateur et exécuter des commandes directement sur le système d'exploitation, gérer des fichiers ou lister les processus en cours.

Le code s'appuie sur RedExt, un framework open source de red teaming déjà repéré dans les attaques GlassWorm. Les chercheurs ont retrouvé des artefacts en langue chinoise dans le code source, un indice qui oriente les soupçons vers des acteurs sinophones sans permettre d'attribution formelle.

Une infrastructure active, mais un périmètre encore flou

En examinant le panneau de commande, SOCRadar a recensé 34 agents enregistrés, 10 sessions actives et 507 enregistrements de données exfiltrées. Ce sont des chiffres mesurés directement sur l'infrastructure de l'attaquant, pas une estimation du nombre réel de victimes : impossible de distinguer, à ce stade, les machines effectivement compromises des simples entrées de test laissées par les opérateurs eux-mêmes pendant leurs essais.

Aucun correctif n'est attendu côté Google ou Microsoft, puisque le problème ne vient pas d'une faille des navigateurs mais d'un abus de fonctionnalités légitimes (mode développeur, native messaging) après compromission. La parade reste classique : limiter les droits d'installation d'extensions, auditer les modules en mode développeur et surveiller le trafic sortant en clair vers des domaines inconnus.

Source

The Hacker News, « PEEP Turns Chrome and Edge Into Post-Compromise Backdoors for Host Command Execution »