Microsoft a supprimé 119 extensions malveillantes de son catalogue Edge Add-ons. Regroupés sous le nom de campagne StegoAd, ces modules cachaient leurs charges utiles dans des fichiers image et police pour voler des identifiants et déclencher de la fraude publicitaire. L’opération s’appuyait sur plus de 90 comptes développeur et aurait touché jusqu’à 2,6 millions d’utilisateurs.
Points clés
- 119 extensions malveillantes retirées du catalogue Edge Add-ons, jusqu’à 2,6 millions d’utilisateurs touchés
- StegoAd cachait son code dans des fichiers image et police via stéganographie, avec activation différée de 3 à 5 jours
- Plus de 90 comptes développeur impliqués, campagne active depuis au moins 2021 et étendue à Chrome et Firefox
- Le retrait du store ne désinstalle pas les modules : Microsoft renvoie les utilisateurs vers edge://extensions
Des extensions en apparence légitimes
D’après le rapport technique publié par Microsoft, les extensions proposaient de vraies fonctions en façade : bloqueur de publicités, sélecteur de couleurs, outil IA, téléchargeur de vidéos, optimisation de bande passante, météo ou édition de PDF. Le code malveillant n’était pas immédiatement actif. Microsoft décrit un délai de trois à cinq jours après l’installation avant l’activation des charges utiles.
Les modules s’appuyaient sur la stéganographie pour dissimuler commandes et code dans des fichiers image et police. L’opération utilisait une infrastructure partagée et des morceaux de code communs entre les différentes extensions. Microsoft dit avoir retiré les 119 extensions identifiées et suspendu les comptes associés.
« Le groupe a opéré 119 extensions malveillantes pour un parc installé pouvant atteindre 2,6 millions d’utilisateurs. » (rapport technique Microsoft Edge)
Ce que ça change pour les utilisateurs
Microsoft situe l’activité de l’acteur au moins depuis 2021. La campagne ne se limitait pas à Edge : l’ensemble StegoAd englobait aussi des extensions Chrome et Firefox. Les objectifs visés couvrent le vol d’identifiants, la prise de contrôle du navigateur à des fins de fraude au clic et la fraude liée aux affiliations publicitaires.
Le retrait du store ne suffit pas pour les personnes ayant déjà installé ces modules. Microsoft renvoie les utilisateurs vers la page edge://extensions pour comparer les identifiants des extensions présentes dans leur navigateur avec la liste du rapport. L’éditeur évoque aussi de nouveaux moyens de détection côté Edge : analyse dynamique des réponses C2 (serveurs de commande et contrôle) et scan des charges utiles stéganographiques.
Encore la chaîne d’approvisionnement des extensions
Microsoft a renforcé les outils d’administration pour Edge en entreprise, avec des fonctions de surveillance et de blocage d’extensions. La documentation pour administrateurs rappelle de vérifier les politiques liées aux extensions, comme ExtensionSettings et ExtensionInstallForcelist.
Pour les équipes sécurité, StegoAd ressemble à un scénario classique de distribution par le canal officiel : apparence fonctionnelle au départ, activation différée et diversité de faux cas d’usage pour contourner la vigilance. Microsoft affirme avoir supprimé tous les modules identifiés, mais n’a pas communiqué de détail public sur d’éventuelles poursuites ni sur l’identité des opérateurs.
