En 2025, des chercheurs en cybersécurité ont révélé qu’une vaste campagne malveillante, baptisée ShadyPanda, a compromis des millions de navigateurs via des extensions pour Google Chrome et Microsoft Edge. Ce qui semblait être des outils légitimes — bloqueurs, utilitaires visuels, thèmes, nouveaux onglets — s’est transformé en logiciels espions capables d’exécuter du code à distance, collecter l’historique de navigation, les clics, les données stockées et bien plus.
Comment ShadyPanda a-t-il piégé les utilisateurs ?
- La campagne a débuté dès 2018, avec la publication de dizaines d’extensions présentées comme utiles ou anodines — certaines ayant même bénéficié du badge “Featured” ou “Verified” dans les boutiques officielles.
- Pendant plusieurs années, ces extensions sont restées “propres”, accumulant des milliers — voire des centaines de milliers — d’installations. Puis, entre 2023 et 2024, les auteurs ont poussé une mise à jour malveillante incluant une porte dérobée (backdoor RCE) : un script s’exécutant périodiquement dans le navigateur, capable d’exfiltrer les données de navigation et d’injecter du code arbitraire.
- Au terme de l’enquête, ShadyPanda aurait accumulé plus de 4,3 millions d’installations à travers 145 extensions (20 pour Chrome, 125 pour Edge). Certaines restent encore actives dans le magasin d’extensions Edge.
Les dangers pour l’utilisateur
Les fonctionnalités malveillantes déployées par ShadyPanda sont alarmantes :
- Exfiltration de l’historique de navigation, des cookies, des empreintes du navigateur, des clics, des requêtes, de l’activité…
- Possibilité d’exécution de code arbitraire via le navigateur — ouvrant la porte à des attaques plus graves : détournement de session, injection de contenu, redirections vers des sites malveillants, etc.
- Même des extensions “populaires” avec des milliers d’utilisateurs et des évaluations positives peuvent cacher une menace — ce qui montre l’inefficacité totale de la confiance aveugle dans les stores d’extensions.
Que faire pour se protéger ?
- Vérifiez la liste des extensions installées — supprimez immédiatement toute extension suspecte, surtout si elle n’est plus maintenue ou abandonnée.
- Scannez votre navigateur et vos données avec un antivirus ou un antimalware à jour, et changez vos mots de passe ou sessions sur les sites sensibles (banque, webmail…).
- Limitez les installations d’extensions aux indispensables, privilégiez celles à source fiable, et auditez régulièrement les permissions demandées (accès à “toutes les URLs”, cookies, stockage, exécution de scripts…).
- Pour les entreprises : appliquez des politiques de sécurité stricte des navigateurs (whitelist, blocage d’install d’extensions non approuvées, audit périodique).
À retenir
La campagne ShadyPanda illustre à merveille un danger croissant de la “supply-chain” logicielle : des logiciels parfaitement légitimes peuvent se transformer en vecteurs d’espionnage, du jour au lendemain, dès qu’une mise à jour est poussée. Elle rappelle qu’il ne faut jamais faire confiance aveuglément aux stores d’extensions — sans contrôle continu ni vigilance.
