Pas une semaine ne passe sans qu’on découvre qu’une extension de Chrome, même très connue, contient du code malveillant. Certaines veulent miner des cryptomonnaies avec votre ordinateur, d’autres veulent voler vos données, etc. Comment savoir si une extension n’a pas de funestes intentions ? Une bonne option est d’étudier le code et la structure de n’importe quelle extension pour Chrome que l’on souhaite installer, et c’est là qu’intervient le système de téléchargement manuel Chrome Extension Downloader.
Après ce qui s’est passé avec SafeBrowse et bien d’autres extensions, il est évident que les responsables de la boutique de Chrome doivent procéder à plusieurs ajustements pour protéger les utilisateurs des extensions malveillantes. Cette fois c’était un mineur, mais plus tard cela pourrait être bien pire. Malheureusement, les commentaires des autres utilisateurs et la réputation du développeur ne sont plus des éléments adéquats pour juger un logiciel. Le fameux « sens commun » tombe vaincu face à ces attaques furtives déployées via des logiciels légitimes, et cela nous mène à des positions plus extrêmes comme « la paranoïa fonctionne ».
Analyser une extension avant de l’installer
Que faire quand la menace vient d’une extension prétendument inoffensive ? Dans le cas de Google Chrome, voir son code. La première étape est de visiter la boutique de Chrome et de chercher l’extension qui nous intéresse. Une fois que nous avons l’URL exacte, nous nous rendons sur le portail Chrome Extension Downloader. Là, nous collons le lien de l’extension et appuyons sur le bouton « Download Extension ». Le site procède alors au téléchargement du fichier au format .crx, et pour voir son contenu, nous devons changer l’extension en .zip.
Le décompresseur standard de Windows n’est pas compatible, mais en utilisant une variante comme 7-Zip, son contenu est automatiquement exposé. Le reste dépend de chaque utilisateur. Certaines extensions sont gigantesques (par exemple, LastPass occupe 10 Mo), et l’exploration de leur code prendra un long moment. Une fois que l’on est convaincu de leur intégrité, on peut faire glisser le crx dans Chrome, ou le télécharger depuis la boutique comme d’habitude.
