Histoire d'une crise annoncée. The Pirate Bay a mis la toile en émoi avec son test de minage de cryptomonnaie pour supprimer la publicité, mais ce n'est que la partie émergée de l'iceberg. En quelques heures, des solutions dédiées ont vu le jour pour interrompre le fonctionnement des mineurs dans les pages et services. Cependant, la mécanique du « moi aussi » a conduit à leur apparition dans des extensions pour Google Chrome. Le premier cas est celui de SafeBrowse, qui comptait plus de 140 000 utilisateurs avant la découverte.
Imaginons un programme ou un service avec des centaines de milliers d'utilisateurs... ou pourquoi pas des millions. Toute mesure de popularité se construit grâce à un bon support, des promesses tenues et de la confiance. C'est là que certains développeurs décident de « plier » un peu cette confiance à leur avantage, et le tir leur part dans le pied. Le test de The Pirate Bay basé sur Coinhive a fait sensation non pas parce que le site cherche une méthode de financement alternative, mais parce qu'il jamais consulté ses utilisateurs. Maintenant que la situation est « blanchie » pour ainsi dire, les opinions sont un peu plus partagées, mais cela ne s'applique qu'à The Pirate Bay. Depuis le début, nous savions que ce n'était qu'une question de temps avant que les mineurs JavaScript se multiplient, et aujourd'hui c'est au tour de SafeBrowse.
Le premier cas documenté
Essentiellement, nous sommes face au premier cas documenté d'une extension pour Google Chrome avec un mineur de cryptomonnaie intégré. Avec plus de 140 000 utilisateurs, les rapports d'utilisation élevée du processeur ne tardèrent pas. Les gens de BleepingComputer ont obtenu une copie de l'extension (la version affectée est la 3.2.25), visualisé son code, et là apparaissent de multiples références à Coinhive. Sur un ordinateur avec un processeur Core i5, le mineur a pris en moyenne 61 pour cent des ressources disponibles, avec des pics allant jusqu'à 100 pour cent. Une fois l'extension supprimée, le comportement de Chrome en ce qui concerne le processeur est revenu à la normale.
La réponse des développeurs
Que disent les développeurs de SafeBrowse ? Que l'extension n'a reçu aucune mise à jour depuis des mois, et que la présence du mineur est l'œuvre d'une attaque. Par ailleurs, ses antécédents ne sont pas entièrement favorables : SafeBrowse s'était déjà sali en novembre 2015, lorsqu'un groupe de chercheurs a détecté des fonctions de suivi qui opéraient sans le consentement des utilisateurs. Google a coupé court et a supprimé SafeBrowse de la boutique, mais s'il est si simple d'insérer du code malveillant dans les extensions de Chrome, il devra mettre en œuvre des changements beaucoup plus profonds.
