Dans un billet publié mardi soir, MEGA a averti d’un problème sérieux de sécurité : une extension malveillante a réussi à remplacer l’officielle dans le WebStore de Chrome (et uniquement cette boutique).

Il a fallu quatre heures à MEGA pour se débarrasser du problème, incluant sa détection, puis l’envoi d’une version propre. WebStore oblige, si les utilisateurs ont utilisé Chrome pendant les quatre heures de la fausse extension, elle a automatiquement remplacé l’ancienne. La mouture envoyée par MEGA, estampillée 3.39.5, a rétabli la situation dans le sens inverse.

Les utilisateurs se sont peut-être doutés cependant que la situation dérapait, car la fausse extension réclamait des privilèges plus élevés, notamment la lecture/modification des données de tous les sites visités. Ce que l’extension MEGA authentique ne demande pas.

Si les utilisateurs concernés ont accepté cette demande et navigué, ils sont potentiellement en danger. L’extension malveillante avait pour mission de voler les identifiants et mots de passe des services, tout spécialement ceux envoyés via des requêtes POST. Amazon, les services Microsoft ou encore GitHub peuvent ainsi être concernés.

MEGA a également confirmé les découvertes du développeur SerHack, qui travaille sur la cryptomonnaie Monero. Les données récupérées par la fausse extension étaient envoyées vers un serveur en Ukraine.

MEGA présente évidemment ses excuses pour la gêne occasionnée et indique que son compte WebStore a été modifié pour qu’un tel problème ne se représente jamais.

Le problème le danger inhérent au piratage des sources officielles, auxquelles les utilisateurs font automatiquement confiance. On se souvient par exemple des cas de Transmission, HandBrake et CCleaner, dont les sites officiels ont tous distribué des versions frelatées de leurs produits, parfois pendant plusieurs semaines.