Une nouvelle arnaque vise les personnes qui publient Chrome .
Cette arnaque se présente sous la forme d'une « demande de retrait pour violation du droit d'auteur » d'apparence officielle, affirmant que votre extension est sur le point d'être retirée du Chrome Store et que vous disposez de 48 heures pour faire appel.
On dirait même que c'est personnalisé. Une fois que vous avez saisi l'identifiant de votre extension pour la « vérifier », la page affiche le nom et l'icône réels de votre extension. Mais tout cela fait partie d'une attaque de phishing visant à voler votre nom d'utilisateur et votre mot de passe Google.
Si des pirates parviennent à accéder à un compte de développeur, ils pourraient prendre le contrôle de l'extension, accéder aux ressources du développeur ou, éventuellement, diffuser des mises à jour malveillantes auprès des utilisateurs.
Que se passe-t-il réellement ?
Si vous avez publié une Chrome , vous pourriez tomber sur une page ressemblant à un avis officiel de Google vous avertissant que votre extension est en cours de suppression pour violation des droits d'auteur.
La page vous demande de saisir l'identifiant de votre extension, puis affiche les informations relatives à votre extension ainsi qu'un numéro de réclamation et un compte à rebours. Elle vous incite à vous connecter via Google pour déposer un recours avant la fin du délai imparti.
Tout cela est faux. Cette page n'est pas gérée par Google. La plainte, la date limite et le compte à rebours sont inventés de toutes pièces. L'objectif est de vous inciter à saisir votre identifiant et votre mot de passe Google dans une fausse fenêtre de connexion contrôlée par l'escroc.
La règle la plus importante à retenir: les avertissements authentiques concernant votre extension apparaissent dans votre tableau de bord développeur Chrome Store, et non sur un site web tiers.
Pourquoi les escrocs veulent-ils des comptes de développeur ?
Chrome ont accès au navigateur des utilisateurs et peuvent être mises à jour automatiquement.
Si des pirates parviennent à prendre le contrôle d'un compte de développeur, ils pourraient être en mesure de modifier une extension, d'accéder aux ressources des développeurs ou, éventuellement, de diffuser des mises à jour malveillantes auprès des utilisateurs existants.
C'est ce qui fait des comptes de développeurs des cibles particulièrement attrayantes, et c'est pourquoi ce genre d'escroqueries est si répandu.
À quoi ressemble cette arnaque
La page est hébergée sur un domaine qui n'a aucun lien avec Google. Dans la version que nous avons analysée, le site utilisait l'adresse dmca-chrome-extensions[.]click.
Malgré cela, il utilise l'image de marque de Google et se présente comme un « Centre des règles pour les développeurs duChrome Store ».
La page vous demande d'abord le lien ou l'identifiant de votre extension. Cela semble anodin, et c'est justement pour cela que ça marche.
Il utilise votre propre extension pour paraître crédible
Une fois que vous avez saisi l'identifiant de votre extension, la page affiche brièvement le message « Recherche de l'extension… », puis génère une fausse notification de retrait autour de votre véritable extension.
Lorsque nous avons testé cette arnaque avec Malwarebytes Browser Guard, le programme a affiché le nom, l'icône et la fiche de notre extension authentique sur le Chrome Store, à côté de la fausse plainte.
Le site se contente de récupérer des informations accessibles au public sur la page de votre extension dans Chrome Store. N'importe qui peut consulter ces informations. Les escrocs s'en servent pour donner un air de légitimité à leur fausse notification.
Tout le reste est inventé.
Le numéro de réclamation, la « date de réception », le délai de 48 heures, le compte à rebours et la chronologie des événements sont générés par la page frauduleuse elle-même.
Le compte à rebours est là pour te mettre la pression
Une bannière d'alerte rouge indique que votre extension sera définitivement supprimée si vous n'agissez pas dans les 48 heures, tandis qu'un compte à rebours affiche les secondes. L'ensemble de la mise en page vous guide vers un seul bouton : vous connecter avec Google pour « vérifier votre identité » et déposer votre recours.
Cette impression d'urgence vise à vous mettre la pression pour que vous réagissiez avant d'avoir pris le temps de vérifier l'information.
La fausse fenêtre de connexion
Lorsque vous cliquez sur « Passer à la vérification », une fenêtre de connexion Google s'affiche, avec une barre de titre, un cadenas et l'adresse du site. accounts.google.com.
Ça a l'air authentique, mais ça ne l'est pas.
La « fenêtre » fait en réalité partie intégrante de la page Web. Le cadenas et l'adresse ne sont que des éléments graphiques conçus pour ressembler à une véritable fenêtre de navigateur.
Les escrocs vont même jusqu'à adapter l'apparence de l'interface à votre système d'exploitation, en affichant windows Mac windows macOS et windows Windows windows Windows .
Tout ce qui est saisi dans ce faux formulaire de connexion est directement transmis aux escrocs.
Un indice : la fenêtre ne peut pas sortir de la page du navigateur. Essayez de la faire glisser vers le bord de votre écran : elle s'arrête à la bordure du navigateur. Réduisez le navigateur et elle disparaît également.
Mais surtout, la véritable barre d'adresse de votre navigateur affiche toujours l'adresse du site frauduleux, et non celle de Google.
Comment rester en sécurité
La bonne nouvelle, c'est qu'il suffit de quelques habitudes simples pour déjouer cette arnaque.
- Ne faites pas confiance à ce lien. Si vous recevez un avertissement concernant votre extension, rendez-vous directement sur le tableau de bord des développeurs du Chrome Store pour vérifier.
- Méfiez-vous des appels à l'urgence. Les processus décisionnels légitimes ne recourent pas à des comptes à rebours pour imposer une action immédiate.
- Vérifiez la barre d'adresse. La véritable page de connexion à Google s'affiche à l'adresse accounts.google.com dans la barre d'adresse de votre navigateur.
- Vérifiez la fenêtre. Si la fenêtre de connexion ne peut pas être déplacée hors du navigateur ou disparaît lorsque celui-ci est réduit, il s'agit probablement d'une fausse fenêtre.
- Activez une protection renforcée lors de la connexion. Les clés d'accès et les clés de sécurité matérielles rendent les mots de passe volés bien moins utiles pour les pirates.
- Utilisez un logiciel de sécurité doté d'une protection contre le phishing et les menaces Web. Notre Browser Guard, qui fait également partie de Malwarebytes Premium , peut vous aider à bloquer les sites Web malveillants et les pages de phishing avant que vous ne saisissiez des informations sensibles.
Il ne s'agit pas d'une simple page de hameçonnage rudimentaire. Elle utilise les informations réelles de votre extension, imite l'identité visuelle de Google et crée un sentiment d'urgence très convaincant.
Si vous recevez un avertissement concernant votre extension, ne cliquez pas sur le lien et n'essayez pas de devancer le compte à rebours. Rendez-vous directement sur votre tableau de bord développeur Chrome Store et vérifiez-y la réclamation.
En cas de doute, fermez l'onglet.
Si vous avez déjà saisi vos coordonnées
Agissez vite.
- Modifiez immédiatement votre mot de passe Google depuis un appareil de confiance.
- Déconnectez-vous de toutes les sessions actives dans les paramètres de sécurité de votre compte Google.
- Vérifiez les applications et les appareils connectés pour repérer tout élément inhabituel.
- Activez la vérification en deux étapes, de préférence à l'aide d'un mot de passe ou d'une clé de sécurité.
- Vérifiez vos fiches sur le Chrome Store pour voir s'il y a eu des modifications, des ajouts ou de nouvelles versions que vous n'avez pas publiées.
Indicateurs de compromis (IOC)
Domaine
dmca-chrome-extensions[.]click
Mettez fin aux menaces avant qu'elles ne causent du tort.
Malwarebytes Browser Guard automatiquement les pages de hameçonnage et les sites malveillants. Gratuit, s'installe en un clic. Ajoutez-le à votre navigateur →
