Fausse extension, vraies recherches interceptées. Un module malveillant hébergé sur le Chrome Web Store se faisait passer pour Perplexity, l’outil de réponse par IA, pendant qu’il aspirait tranquillement les requêtes de recherche et les données de navigation. Microsoft Threat Intelligence a relié cette extension à une campagne taillée pour intercepter ce que l’utilisateur tape dans la barre d’adresse, avant de le renvoyer vers un moteur tout ce qu’il y a de plus légitime.
L’extension, baptisée « Search for perplexity ai », s’appuyait sur le domaine typosquatté perplexity-ai[.]online. Google l’a retirée de sa boutique après le signalement de Microsoft. L’éditeur dit n’avoir trouvé aucun indice de vol de mots de passe, mais décrit une collecte assumée des données de navigation : requêtes interceptées, en-têtes du navigateur, adresse IP et agent utilisateur.
Points clés
- L’extension « Search for perplexity ai » usurpait Perplexity via le domaine typosquatté perplexity-ai[.]online
- Elle interceptait requêtes, en-têtes, IP et agent utilisateur avant de rediriger vers un vrai moteur
- Microsoft Threat Intelligence l’a attribuée à une campagne malveillante ; Google l’a retirée du Chrome Web Store
- Aucun vol de mot de passe constaté, mais collecte assumée des données de navigation
Une extension de recherche, pas un faux visuel grossier
Le piège ne reposait pas sur une interface bidouillée. D’après les éléments publiés par Microsoft, l’extension changeait le moteur de recherche par défaut puis interrogeait d’abord l’infrastructure de l’attaquant avant de rediriger vers de vrais résultats. De quoi rendre l’usage parfaitement banal aux yeux de l’utilisateur.
Elle exploitait des fonctions tout à fait officielles de Chrome : les réglages du moteur de recherche et les règles de filtrage réseau de Manifest V3. Le trafic transitait par un serveur contrôlé par l’attaquant, où requêtes et données techniques pouvaient être enregistrées avant l’aiguillage final vers Perplexity, Google ou Bing.
- Nom observé : « Search for perplexity ai »
- Domaine utilisé : perplexity-ai[.]online
- Action constatée : interception des recherches et de la saisie dans l’omnibox
- Suite connue : retrait de l’extension du Chrome Web Store après signalement à Google
Les extensions « utiles » restent un terrain miné
L’affaire tombe alors que les attaques via extensions de navigateur ne désemplissent pas. Début juin, d’autres campagnes ont été repérées sur le Chrome Web Store : modules VPN, bloqueurs de pub ou outils de personnalisation qui détournaient la navigation, siphonnaient des données ou fabriquaient du trafic artificiel. Des chercheurs ont aussi documenté des extensions qui interceptaient les requêtes vers ChatGPT, Gemini, Claude ou Perplexity.
Ici, la cible n’était pas la conversation avec un chatbot mais la recherche elle-même. Pour les utilisateurs déjà touchés, la marche à suivre tient en trois gestes : supprimer l’extension, vérifier que le moteur de recherche par défaut n’a pas été remplacé en douce, puis passer en revue les autres extensions installées. Une boutique officielle n’est pas un certificat de bonne conduite, juste une vitrine.
