Un outil de dev bien pratique, un mouchard endormi à l’intérieur, et deux boutiques qui claquent la porte. Google et Microsoft ont retiré ModHeader, une extension navigateur censée modifier les en-têtes HTTP, après la découverte d’un composant dormant capable de collecter les domaines visités, de les chiffrer puis de les expédier vers un serveur distant. L’extension cumulait 1,6 million d’installations sur Chrome et Edge selon les chercheurs qui l’ont décortiquée.
L’analyse remonte au 12 juillet 2026, quand plusieurs spécialistes de la sécurité se sont penchés sur le comportement réseau de l’outil. Le module fautif enregistrait les domaines consultés, avec un déclenchement prévu après 1 000 domaines uniques ou 24 heures écoulées depuis le dernier envoi. Les données partaient ensuite chiffrées, histoire de ne pas s’afficher en clair dans le trafic sortant.
Points clés
- ModHeader, extension de modification d’en-têtes HTTP, embarquait un collecteur dormant de domaines visités
- Envoi chiffré déclenché après 1 000 domaines uniques ou 24 heures, 1,6 million d’installations sur Chrome et Edge
- Google et Microsoft ont retiré l’extension de leurs boutiques ; désinstallation et rotation des jetons recommandées
Un collecteur planqué dans un outil de dev très installé
ModHeader sert à modifier les en-têtes HTTP, un usage banal chez les développeurs, les testeurs de sécurité et certains administrateurs. Sauf que les versions observées embarquaient un mécanisme d’exfiltration inactif au premier coup d’œil. Les chercheurs décrivent une collecte des domaines stockée localement puis transmise de façon différée vers un point de terminaison distinct.
La charge utile ne se contentait pas de capter des URLs brutes. Elle chiffrait les domaines avant l’envoi, ce qui compliquait la détection. Le seuil de 1 000 domaines trahit une logique de regroupement plutôt qu’une remontée continue : on collecte par lots, on envoie ponctuellement, on reste discret.
Retrait coordonné sur Chrome et Edge
Les deux géants ont sorti l’extension de leurs boutiques respectives. Microsoft avait déjà fait le ménage de son côté, et Google a suivi en classant ModHeader parmi les indésirables dans l’écosystème Chrome. La répartition avancée par les chercheurs donne environ 900 000 installations sur Chrome et 700 000 sur Edge.
À ce stade, aucun élément public ne confirme l’identité de l’opérateur derrière le serveur de collecte ni l’ampleur réelle de l’exfiltration. Le hic, c’est la nature des données : des domaines visités, donc potentiellement des portails internes, des consoles cloud, des VPN ou d’autres services sensibles manipulés dans un cadre professionnel. Bref, une cartographie discrète de ce que fait l’utilisateur.
Ce que vous pouvez vérifier
- désinstaller ModHeader sur Chrome et Edge si elle traîne encore ;
- passer en revue les autorisations accordées à vos extensions ;
- contrôler les journaux de navigation et les accès aux services sensibles si l’outil a tourné sur un poste pro ;
- changer les mots de passe ou renouveler les jetons d’accès si des sessions critiques ont pu être exposées.
Le cas rejoint une longue série de retraits d’extensions détournées sur les grands magasins. Sa particularité tient au profil de la cible : un utilitaire réputé fiable, installé en masse, dont une fonction endormie servait à ficher les domaines visités. La preuve qu’une extension utile aujourd’hui peut se réveiller espionne après une mise à jour, sans que personne ne clique deux fois.
