PEEP : une fausse extension transforme Chrome et Edge en porte dérobée
Un outil de post-compromission découvert par SOCRadar se fait passer pour une extension inoffensive pour relier le navigateur au système d'exploitation.
Photo : Mohammad Rahmani / Unsplash
Des chercheurs de la société SOCRadar ont documenté un outil malveillant baptisé PEEP, capable de transformer Chrome et Edge en points d'accès persistants sur une machine déjà compromise. Il ne s'agit pas d'une faille dans les navigateurs eux-mêmes, mais d'un module qui se fait passer pour une extension inoffensive une fois qu'un attaquant dispose déjà d'un accès administrateur ou d'une exécution de code sur le poste visé.
Une fausse extension qui trafique les vérifications internes
PEEP se présente sous la forme d'une extension nommée « Smart Bookmarks ». Pour contourner les contrôles d'intégrité que Chromium applique à ses profils, des scripts PowerShell (install_silent.ps1, patch_secure_prefs.ps1, force_enable.ps1) activent le mode développeur et modifient directement le fichier Secure Preferences, censé empêcher l'installation de modules non validés par le Web Store. L'extension s'injecte ensuite dans le profil du navigateur sans jamais transiter par la boutique officielle.
Un pont entre le sandbox du navigateur et le système
Une fois en place, PEEP interroge son serveur de commande toutes les 30 secondes, en clair, via HTTP. Il aspire l'historique de navigation, les cookies et les métadonnées de l'onglet actif. Mais l'élément le plus problématique est ailleurs : un exécutable natif, nm_host.exe, utilise le mécanisme de « native messaging » pour faire sortir l'attaquant du bac à sable du navigateur et exécuter des commandes directement sur le système d'exploitation, gérer des fichiers ou lister les processus en cours.
Le code s'appuie sur RedExt, un framework open source de red teaming déjà repéré dans les attaques GlassWorm. Les chercheurs ont retrouvé des artefacts en langue chinoise dans le code source, un indice qui oriente les soupçons vers des acteurs sinophones sans permettre d'attribution formelle.
Une infrastructure active, mais un périmètre encore flou
En examinant le panneau de commande, SOCRadar a recensé 34 agents enregistrés, 10 sessions actives et 507 enregistrements de données exfiltrées. Ce sont des chiffres mesurés directement sur l'infrastructure de l'attaquant, pas une estimation du nombre réel de victimes : impossible de distinguer, à ce stade, les machines effectivement compromises des simples entrées de test laissées par les opérateurs eux-mêmes pendant leurs essais.
Aucun correctif n'est attendu côté Google ou Microsoft, puisque le problème ne vient pas d'une faille des navigateurs mais d'un abus de fonctionnalités légitimes (mode développeur, native messaging) après compromission. La parade reste classique : limiter les droits d'installation d'extensions, auditer les modules en mode développeur et surveiller le trafic sortant en clair vers des domaines inconnus.
Source
À lire ensuite
Le phishing « passkey » qui vide des comptes Microsoft 365 ne casse aucune clé d'accès
Une campagne de phishing active depuis mai 2026 pousse des employés vers de faux portails Microsoft sous prétexte de mettre à jour leur passkey. Le passkey n'est jamais réellement attaqué : c'est un prétexte pour rediriger la victime vers un flux d'authentification, lui, réellement piégeable.
Kelvyn2 min de lecture
Des failles JFrog Artifactory enchaînées pour créer des comptes administrateur en moins de cinq minutes
Deux vulnérabilités JFrog Artifactory, enchaînées, permettent d'obtenir un accès administrateur en quelques minutes sur des instances auto-hébergées non corrigées. Wiz confirme une exploitation active depuis la mi-août, avec le déploiement d'une porte dérobée sur mesure.
Kelvyn2 min de lecture
Une faille GitLab notée 10 sur 10 permet de lire des fichiers arbitraires en une seule requête
GitLab corrige une faille de sévérité maximale permettant à un attaquant non authentifié de lire des fichiers arbitraires sur un serveur vulnérable. La société watchTowr observe déjà des tentatives de sondage, sans preuve de compromission réussie à ce stade.
Kelvyn2 min de lecture