Aller au contenu
Sécurité medium

The Great Suspender (extension Chrome)

3 min de lecture
Point de compromission dans la chaîne Rupture · étape Distribution
Source
amont
Dépendances
deps
Build & CI
ci
Packaging
artefact
Release
provenance
Registres
Distribution
Déploiement
admission
Runtime
exécution
Rayon d'explosion — compromission à l'étape Distribution, propagation possible aux consommateurs. Domaines : Intégration, Release, Fournisseurs
Gravité critique
Extension Chrome populaire (plus de 2 millions d'utilisateurs) passée sous contrôle malveillant après rachat, poussant du code non sollicité.
2 M+
utilisateurs
7.1.8
version piégée
juin 2020
revente de l'extension
Bitcoin
domaine de traçage payé en

En bref

Date
04/02/2021
Gravité
Critique
Étape de la chaîne
Distribution
Domaines SOCLE
Intégration+ Release, Fournisseurs

Que s'est-il passé ?

Contexte

The Great Suspender, extension Chrome (plus de 2 millions d'utilisateurs) de mise en veille des onglets, change de mainteneur : en juin 2020, l'auteur d'origine se retire et vend l'extension à une entité inconnue, le compte @greatsuspender.

Mécanisme

En octobre 2020, le nouveau mainteneur publie la version 7.1.8 sur le Chrome Web Store sans changelog ni tag GitHub : le binaire publié diverge de la source. Il charge des scripts depuis owebanalytics.com, domaine créé au même moment et payé en Bitcoin.

Impact

L'extension intègre un traçage non déclaré des utilisateurs via un JavaScript minifié distinct de celui du projet OpenWebAnalytics légitime. L'absence d'identité du mainteneur et la divergence source/binaire ont fini par alerter la communauté.

Parades

Surveiller les transferts de propriété et l'identité des mainteneurs, vérifier l'équivalence source publiée vs dépôt, exiger changelog et tags, et auditer les domaines contactés par une extension.

Chronologie de l'attaque

juin 2020
Revente de l'extension

L'auteur d'origine se retire et cède The Great Suspender à une entité inconnue (@greatsuspender).

octobre 2020
Mise à jour suspecte

La version 7.1.8 est poussée sur le Chrome Web Store sans changelog ni tag, divergeant de la source GitHub.

6 novembre 2020
Confirmation malveillante

La communauté relie l'extension au domaine owebanalytics.com (créé au même moment, payé en Bitcoin) hébergeant un traçage caché.

Comment l'attaquant a procédé

Cet incident met en jeu les vecteurs d'attaque suivants du catalogue SOCLE ; chacun renvoie à sa fiche, où l'on trouve les exigences qui le neutralisent :

La leçon à en tirer

Ce qu'il faut retenir

Maîtriser les extensions (allowlist, revue) ; se méfier des changements de propriétaire.

Les exigences SOCLE qui auraient limité cet incident

Cet incident se rattache à 8 exigences du référentiel, par domaine. Les satisfaire n'aurait pas forcément tout empêché, mais aurait réduit la probabilité de l'attaque, limité son impact ou accéléré sa détection :

Pour aller plus loin

Ce site vous est utile ?

Sachez que moins de 1% des lecteurs soutiennent ce site.

Je maintiens +700 guides gratuits, sans pub ni tracing. Aujourd'hui, ce site ne couvre même pas mes frais d'hébergement, d'électricité, de matériel, de logiciels, mais surtout de cafés.

Un soutien régulier, même symbolique, m'aide à garder ces ressources gratuites et à continuer de produire des guides de qualité. Merci pour votre appui.

Abonnez-vous et suivez mon actualité DevSecOps sur LinkedIn