{"id":232785,"date":"2026-07-07T03:55:29","date_gmt":"2026-07-07T10:55:29","guid":{"rendered":"https:\/\/www.mcafee.com\/blogs\/?p=232785"},"modified":"2026-07-07T03:55:29","modified_gmt":"2026-07-07T10:55:29","slug":"crypto-clipper-portefeuille-substitution-navigateur-extension-logiciel-malveillant","status":"publish","type":"post","link":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/crypto-clipper-portefeuille-substitution-navigateur-extension-logiciel-malveillant\/","title":{"rendered":"Silent Swap\u00a0: une campagne par d\u00e9ploiement d’extensions de type \u00ab\u00a0crypto clipper\u00a0\u00bb"},"content":{"rendered":"

Auteur\u00a0: Neil Tyagi<\/em><\/p>\n

R\u00e9sum\u00e9<\/span><\/b>\u00a0<\/span><\/h2>\n

L’\u00e9quipe McAfee Advanced Threat Research a identifi\u00e9 une campagne active recourant \u00e0 des extensions de navigateur pour voler des cryptomonnaies en rempla\u00e7ant discr\u00e8tement les adresses de portefeuilles d\u00e8s qu’un utilisateur lance une transaction<\/strong>. La campagne s’appuie sur des programmes d’installation non sign\u00e9s \u2014 observ\u00e9s aussi bien dans des variantes .NET que Golang \u2014 qui d\u00e9ploient une extension Chromium malveillante se faisant passer pour un utilitaire \u00ab Google Notes \u00bb inoffensif.<\/span><\/p>\n

Cette campagne est li\u00e9e \u00e0 un article de blog publi\u00e9 pr\u00e9c\u00e9demment par McAfee Labs,<\/span> intitul\u00e9 \u00ab\u00a0Sinkholing CountLoader: Insights into Its Recent Campaign<\/span><\/i>\u00a0\u00bb,<\/span><\/a> \u00e9tant donn\u00e9 que le m\u00eame cybercriminel semble \u00eatre derri\u00e8re<\/span> ces deux<\/span> op\u00e9rations<\/span>.<\/span> Lors de cette \u00e9tude ant\u00e9rieure, nous avons analys\u00e9 une charge virale de type \u00ab\u00a0crypto clipper\u00a0\u00bb qui avait \u00e9t\u00e9 inject\u00e9e directement dans la m\u00e9moire. Nous examinons ici une autre variante de la charge virale de la phase finale\u00a0: une extension malveillante pour navigateur con\u00e7ue pour intercepter et manipuler les transactions en cryptomonnaie.<\/span><\/p>\n

Dans ce rapport, nous expliquons en d\u00e9tail le fonctionnement de cette extension et proposons une analyse technique des m\u00e9canismes qui conf\u00e8rent \u00e0 cette menace un caract\u00e8re particuli\u00e8rement singulier. Cette extension fonctionne comme un crypto clipper ciblant le presse-papiers : elle surveille les op\u00e9rations de copier-coller, identifie les adresses de portefeuilles \u00e0 travers plusieurs cha\u00eenes de blocs et les remplace par des adresses contr\u00f4l\u00e9es par le cybercriminel juste avant que la victime ne colle le contenu. La plupart des transactions sur la cha\u00eene de blocs \u00e9tant irr\u00e9versibles, une seule ex\u00e9cution sans interruption peut entra\u00eener des pertes financi\u00e8res irr\u00e9m\u00e9diables.<\/span><\/p>\n

Deux caract\u00e9ristiques distinguent cette campagne des menaces habituelles li\u00e9es aux clippers\u00a0:<\/span>\u00a0<\/span><\/p>\n

    \n
  1. Exploitation de la couche de confiance de Chromium.<\/span><\/b>\u00a0<\/span><\/b>Le programme d’installation installe \u00e0 votre insu une extension malveillante dans les navigateurs bas\u00e9s sur Chromium, tels que Google Chrome, Brave et Microsoft Edge, en modifiant les fichiers de param\u00e8tres prot\u00e9g\u00e9s du navigateur. En r\u00e8gle g\u00e9n\u00e9rale, ces navigateurs stockent des donn\u00e9es de v\u00e9rification de s\u00e9curit\u00e9 (valeurs de hachage\/HMAC) aux c\u00f4t\u00e9s des param\u00e8tres sensibles afin de d\u00e9tecter toute modification non autoris\u00e9e<\/span>.<\/span><\/b>\u00a0<\/span><\/b>Le logiciel malveillant recalcule et met \u00e0 jour ces valeurs de s\u00e9curit\u00e9 apr\u00e8s avoir alt\u00e9r\u00e9 les fichiers, ce qui induit le navigateur en erreur en lui faisant croire que l’extension malveillante a \u00e9t\u00e9 install\u00e9e en toute l\u00e9gitimit\u00e9. L’extension peut ainsi contourner la proc\u00e9dure normale d’installation via la boutique en ligne des extensions et se charger en arri\u00e8re-plan sans l’accord de l’utilisateur. Si, pour les versions r\u00e9centes des navigateurs Chrome et Edge, la victime doit activer manuellement le mode d\u00e9veloppeur pour que l’extension se charge correctement, les utilisateurs disposant de versions obsol\u00e8tes de navigateurs bas\u00e9s sur Chromium restent en revanche expos\u00e9s \u00e0 un risque \u00e9lev\u00e9. De plus, m\u00eame dans les versions les plus r\u00e9centes, un cybercriminel peut toujours recourir \u00e0 des techniques d’ing\u00e9nierie sociale pour activer le mode d\u00e9veloppeur.<\/span><\/li>\n
  2. Syst\u00e8me de commande et de contr\u00f4le bas\u00e9 sur la cha\u00eene de blocs<\/strong>. L’extension ne contient pas de domaine C2 cod\u00e9 en dur. Au lieu de cela, elle interroge un endpoint RPC de la cha\u00eene de blocs publique, appelle une m\u00e9thode de contrat intelligent en lecture seule, puis d\u00e9code la r\u00e9ponse lors de l’ex\u00e9cution afin de r\u00e9v\u00e9ler son serveur de commande et de contr\u00f4le (C2) actif, identifi\u00e9 au moment de l’analyse comme \u00e9tant <\/span>Zebregts[.]com.<\/span> Cette technique, souvent appel\u00e9e \u00ab\u00a0EtherHiding\u00a0\u00bb, <\/strong>complique les efforts de mise hors service, car le cybercriminel peut faire tourner son infrastructure en mettant \u00e0 jour la valeur d’un contrat intelligent plut\u00f4t qu’en red\u00e9ployant le logiciel malveillant.<\/span>\u00a0<\/span><\/li>\n<\/ol>\n

    Les donn\u00e9es t\u00e9l\u00e9m\u00e9triques de McAfee <\/span>indiquent<\/span> une propagation de l’infection \u00e0 l’\u00e9chelle mondiale, avec une concentration marqu\u00e9e en Inde. L’\u00e9tendue g\u00e9ographique de ces activit\u00e9s laisse supposer <\/span>un ciblage<\/span> opportuniste des utilisateurs de cryptomonnaies \u00e0 des fins de consommation, plut\u00f4t qu’une op\u00e9ration sp\u00e9cifique \u00e0 une r\u00e9gion donn\u00e9e.<\/span><\/span>\u00a0<\/span><\/p>\n

    R\u00e9partition g\u00e9ographique<\/span><\/span>\u00a0\u00a0<\/span><\/h2>\n
    \"Carte
    Nos recherches montrent que ce sont l\u00e0 les r\u00e9gions du monde les plus touch\u00e9es.<\/figcaption><\/figure>\n

    L’analyse des donn\u00e9es t\u00e9l\u00e9m\u00e9triques <\/span>indique<\/span> que <\/span><\/span>les infections sont r\u00e9parties \u00e0 l’\u00e9chelle mondiale<\/span><\/span><\/strong>, avec une <\/span><\/span>concentration nettement plus \u00e9lev\u00e9e <\/span>observ\u00e9e<\/span> en Inde<\/span><\/span> par rapport aux autres r\u00e9gions.<\/span><\/span><\/p>\n

    Cette pr\u00e9sence g\u00e9ographique \u00e9tendue met en \u00e9vidence la large port\u00e9e de la campagne, ce qui laisse supposer un ciblage opportuniste plut\u00f4t qu’une attaque visant une r\u00e9gion en particulier.<\/span><\/span>\u00a0<\/span><\/p>\n

    L’extension malveillante\u00a0: \u00ab\u00a0Google Notes\u00a0\u00bb<\/span><\/span>\u00a0<\/span><\/h2>\n

    Ce logiciel malveillant se fait passer pour une extension Google Notes <\/span>en apparence inoffensive<\/span>.<\/span><\/span>\u00a0<\/span><\/p>\n

    \"Lextension
    Figure 1. Cette image montre l’extension malveillante au c\u0153ur de cette campagne.<\/em><\/figcaption><\/figure>\n

    L’extension d\u00e9ploy\u00e9e se pr\u00e9sente sous la forme d’une application de prise de notes minimaliste et d’apparence l\u00e9gitime, baptis\u00e9e \u00ab Google Notes \u00bb, dot\u00e9e d’une ic\u00f4ne \u00e9pur\u00e9e et d’une interface utilisateur fonctionnelle (et simpliste).<\/span><\/p>\n

    La strat\u00e9gie est bien pens\u00e9e\u00a0: lorsqu’un utilisateur ouvre manuellement l’extension, il constate que celle-ci fonctionne conform\u00e9ment \u00e0 ce qui est annonc\u00e9, ce qui dissipe ses soup\u00e7ons. La logique malveillante de l’extension est impl\u00e9ment\u00e9e dans des scripts de type \u00ab\u00a0service worker\u00a0\u00bb et des scripts de contenu qui s’ex\u00e9cutent en arri\u00e8re-plan et qui fonctionnent enti\u00e8rement hors de la vue de l’interface utilisateur.<\/span><\/p>\n

    Un premier signal d’alerte majeur appara\u00eet d\u00e8s l’installation de l’extension, qui demande des autorisations de <\/span><\/b>s\u00e9curit\u00e9<\/span><\/b><\/b> et des<\/span><\/b> droits d’acc\u00e8s <\/span><\/b>disproportionn\u00e9s par rapport \u00e0 une <\/span><\/b>application<\/span><\/b> de prise de notes <\/span><\/b>classique\u00a0:<\/strong>\u00a0<\/span><\/p>\n

      \n
    • Acc\u00e8s \u00e0 toutes les URL, permettant l’injection de scripts dans chaque site consult\u00e9 par l’utilisateur<\/span>\u00a0<\/span><\/li>\n
    • Acc\u00e8s \u00e0 l’historique de navigation<\/span>\u00a0<\/span><\/li>\n
    • Acc\u00e8s en lecture et en \u00e9criture au presse-papiers<\/span>\u00a0<\/span><\/li>\n<\/ul>\n

      Mesures d’att\u00e9nuation et recommandations<\/span>\u00a0<\/span><\/h2>\n

      Pour les particuliers<\/span>\u00a0<\/span><\/h3>\n
        \n
      1. Avant de valider toute transaction en cryptomonnaie, <\/span>v\u00e9rifiez visuellement les six premiers et les six derniers caract\u00e8res de l’adresse du destinataire<\/span><\/b> en les comparant \u00e0 la source\u00a0\u2014 de pr\u00e9f\u00e9rence sur un appareil distinct.\u00a0Cette simple habitude permet de faire \u00e9chouer la grande majorit\u00e9 des attaques de clipper.<\/span>\u00a0<\/span><\/li>\n
      2. Installez des extensions de navigateur exclusivement \u00e0 partir du Chrome Web Store officiel<\/span><\/b>, de la boutique d’extensions Edge ou d’une boutique \u00e9quivalente. Une extension qui figure dans votre liste d’extensions install\u00e9es sans que vous ayez souvenir de l’avoir install\u00e9e doit \u00eatre consid\u00e9r\u00e9e comme suspecte.<\/span>\u00a0<\/span><\/li>\n
      3. V\u00e9rifiez les autorisations accord\u00e9es \u00e0 chaque extension install\u00e9e<\/span><\/b>. Un outil de prise de notes n’a aucune raison valable d’acc\u00e9der \u00e0 l’ensemble des sites Web, \u00e0 l’historique de navigation ou au presse-papiers.<\/span>\u00a0<\/span><\/li>\n
      4. \u00c9vitez d’ex\u00e9cuter des fichiers ex\u00e9cutables non sign\u00e9s <\/span><\/b>provenant de sources non fiables, en particulier celles proposant des versions gratuites ou pirat\u00e9es de logiciels payants\u00a0\u2014 un vecteur de distribution courant pour ce type de programme d’installation.<\/span>\u00a0<\/span><\/li>\n
      5. Assurez-vous que la protection des terminaux est \u00e0 jour et activ\u00e9e<\/span><\/b>\u00a0; les clients McAfee sont prot\u00e9g\u00e9s contre cette campagne sp\u00e9cifique, comme expliqu\u00e9 ci-dessous.<\/span>\u00a0<\/span><\/li>\n<\/ol>\n

        Les solutions de s\u00e9curit\u00e9 McAfee contribuent \u00e0 prot\u00e9ger les utilisateurs \u00e0 plusieurs niveaux\u00a0:<\/span>\u00a0<\/span><\/h3>\n

        1. McAfee d\u00e9tecte cette menace sous le nom de CryptoStealer.NE et assure la s\u00e9curit\u00e9 de ses clients<\/span><\/b>\u00a0<\/span><\/h4>\n
        \"Figure\u00a02.
        Figure\u00a02. Cette capture d’\u00e9cran montre comment McAfee Antivirus bloque cette menace pour les particuliers.<\/em><\/figcaption><\/figure>\n

        2. Protection contre les t\u00e9l\u00e9chargements malveillants<\/span><\/b><\/h4>\n

        Le comportement du programme d’installation\u00a0\u2014 qui t\u00e9l\u00e9charge et ex\u00e9cute des charges virales \u00e0 distance\u00a0\u2014 est d\u00e9tect\u00e9 et bloqu\u00e9 par McAfee avant que l’infection ne soit effective.<\/span>\u00a0<\/span>Lors de nos tests, tous les domaines et URL malveillants ont \u00e9t\u00e9 bloqu\u00e9s par McAfee.<\/span>\u00a0<\/span><\/p>\n

        3. Protection du r\u00e9seau<\/span><\/b><\/h4>\n

        Les connexions \u00e0 des infrastructures malveillantes connues (serveurs C2) sont bloqu\u00e9es par McAfee, ce qui emp\u00eache la r\u00e9cup\u00e9ration des adresses de portefeuilles<\/span>\u00a0<\/span><\/p>\n

        4. Renseignements en temps r\u00e9el sur les menaces<\/span><\/b><\/h4>\n

        Cette menace ayant \u00e9t\u00e9 identifi\u00e9e dans les donn\u00e9es t\u00e9l\u00e9m\u00e9triques de McAfee, des mesures de protection peuvent \u00eatre rapidement mises en place pour\u00a0:<\/span>\u00a0<\/span><\/p>\n

          \n
        • Bloquer les variantes similaires<\/span>\u00a0<\/span><\/li>\n
        • D\u00e9tecter les infrastructures associ\u00e9es<\/span>\u00a0<\/span><\/li>\n
        • Prot\u00e9ger les clients dans le monde entier<\/span>\u00a0<\/span><\/li>\n<\/ul>\n

          Fonctionnement de cette campagne malveillante<\/span><\/span>\u00a0<\/span><\/h1>\n

          Ce que fait le logiciel malveillant\u00a0<\/span>\u00a0<\/span><\/h2>\n
            \n
          1. Il installe une <\/span>extension de navigateur \u00e0 votre insu (chargement lat\u00e9ral d’une extension Web).<\/span>\u00a0<\/span><\/li>\n
          2. Il surveille ce que vous copiez et collez (en particulier les adresses cryptographiques).<\/span>\u00a0<\/span><\/li>\n
          3. Il s’ex\u00e9cute lorsque vous effectuez une transaction cryptographique.<\/span>\u00a0<\/span><\/li>\n
          4. Il remplace discr\u00e8tement l’adresse du portefeuille par celle du cybercriminel.<\/span>\u00a0<\/span><\/li>\n
          5. Vos fonds sont transf\u00e9r\u00e9s au cybercriminel au lieu d’\u00eatre vers\u00e9s au destinataire pr\u00e9vu.<\/span>\u00a0<\/span><\/li>\n<\/ol>\n

            Les transactions en cryptomonnaie \u00e9tant g\u00e9n\u00e9ralement <\/span>irr\u00e9versibles<\/span><\/b>, les victimes risquent de perdre d\u00e9finitivement leurs fonds.<\/strong><\/span><\/p>\n

            \"Figure\u00a03.
            Figure\u00a03. Fonctionnement synth\u00e9tis\u00e9 de l’extension<\/em><\/figcaption><\/figure>\n

            Principales capacit\u00e9s identifi\u00e9es<\/span><\/span>\u00a0<\/span><\/h2>\n

            1. Installation silencieuse d’une extension<\/span><\/span>\u00a0<\/span><\/h3>\n

            Ce logiciel malveillant n’utilise pas la boutique officielle du navigateur. Au lieu de cela, il modifie directement les fichiers du navigateur pour donner l’impression que l’extension est install\u00e9e (chargement lat\u00e9ral de l’extension de navigateur).<\/span><\/p>\n

            Cette m\u00e9thode contourne les invites de s\u00e9curit\u00e9 habituelles et \u00e9chappe \u00e0 la vigilance de l’utilisateur.<\/span>\u00a0<\/span><\/p>\n

            \"Figure\u00a04.
            Figure\u00a04. Journaux Procmon montrant que BaseZipInstaller (le programme d’installation Web malveillant) \u00e9crit dans les fichiers Secure Preferences de Chrome et d’Edge<\/em><\/figcaption><\/figure>\n

            2. Acc\u00e8s complet au navigateur<\/span><\/span>\u00a0<\/span><\/h3>\n
            \"Figure\u00a05.
            Figure\u00a05. Autorisations requises pour l’extension Chrome<\/em><\/figcaption><\/figure>\n
            \"Figure\u00a06.
            Figure\u00a06. Fichier manifest de l’extension Web<\/em><\/figcaption><\/figure>\n

            L’extension malveillante demande des autorisations excessives, telles que\u00a0:<\/span>\u00a0<\/span><\/p>\n

              \n
            • Acc\u00e8s \u00e0 tous les sites Web<\/span>\u00a0<\/span><\/li>\n
            • Consultation de l’historique de navigation<\/span>\u00a0<\/span><\/li>\n
            • Lecture et modification du contenu du presse-papiers<\/span>\u00a0<\/span><\/li>\n<\/ul>\n

              3. Interception d’adresses cryptographiques<\/span><\/b><\/h3>\n

              L’extension int\u00e8gre une logique permettant de d\u00e9tecter les adresses de portefeuilles pour plusieurs cryptomonnaies, notamment\u00a0:<\/span>\u00a0<\/span><\/p>\n

              \"Figure\u00a07.
              Figure\u00a07. Expressions r\u00e9guli\u00e8res (Regex) de cryptomonnaies cod\u00e9es en dur et adresse de secours<\/em><\/figcaption><\/figure>\n
                \n
              • Les adresses de portefeuille de secours indiqu\u00e9es dans le code ne sont pas utilis\u00e9es pour toutes les transactions\u00a0; elles servent plut\u00f4t de m\u00e9canisme de secours lorsque la r\u00e9cup\u00e9ration dynamique d’adresses \u00e0 partir du serveur contr\u00f4l\u00e9 par le cybercriminel \u00e9choue.\u00a0<\/span>\u00a0<\/span><\/li>\n
              • Dans des conditions normales de fonctionnement, l’extension r\u00e9cup\u00e8re des adresses de remplacement aupr\u00e8s d’un serveur distant, ce qui permet une attribution dynamique des portefeuilles, \u00e9ventuellement sp\u00e9cifique \u00e0 chaque victime.\u00a0<\/span>\u00a0<\/span><\/li>\n
              • Les adresses de secours permettent \u00e0 l’attaque de rester fonctionnelle m\u00eame si l’infrastructure de commande et de contr\u00f4le est temporairement indisponible ou bloqu\u00e9e.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n
                \"Figure\u00a08.
                Figure\u00a08. Extension malveillante ex\u00e9cutant une r\u00e9solution dynamique d’adresses cryptographiques<\/em><\/figcaption><\/figure>\n
                  \n
                • Cette fonction a pour r\u00f4le d’obtenir l’adresse de portefeuille de remplacement contr\u00f4l\u00e9e par le cybercriminel qui correspond \u00e0 l’adresse d’origine de la victime.\u00a0<\/span>\u00a0<\/span><\/li>\n
                • Elle envoie l’adresse de portefeuille intercept\u00e9e au serveur dorsal du cybercriminel et utilise la r\u00e9ponse pour remplacer dynamiquement l’adresse d’origine.\u00a0<\/span>\u00a0<\/span><\/li>\n
                • Si la requ\u00eate vers le serveur dorsal \u00e9choue, la fonction se rabat sur une adresse de portefeuille pr\u00e9d\u00e9finie et cod\u00e9e en dur, de fa\u00e7on \u00e0 \u00e9viter toute interruption de l’activit\u00e9 malveillante.<\/span>\u00a0<\/span><\/li>\n
                • 3J98t1Wxxxx est l’adresse qui a \u00e9t\u00e9 copi\u00e9e dans le presse-papiers.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n

                  4<\/span>.\u00a0<\/span>Contournement de la d\u00e9tection et furtivit\u00e9<\/span><\/span>\u00a0<\/span><\/h3>\n
                  \"Figure\u00a08.
                  Figure\u00a08. Fichier Settings.js montrant la configuration<\/em><\/figcaption><\/figure>\n
                    \n
                  • La configuration comprend une cl\u00e9 API cod\u00e9e en dur, qui est utilis\u00e9e par l’extension pour authentifier la communication avec l’infrastructure contr\u00f4l\u00e9e par le cybercriminel.\u00a0<\/span>\u00a0<\/span><\/li>\n
                  • Une URL RPC pointant vers un n\u0153ud de cha\u00eene de blocs publique est utilis\u00e9e pour d\u00e9terminer de mani\u00e8re dynamique les renseignements relatifs au serveur dorsal, ce qui permet au cybercriminel de dissimuler des infrastructures critiques derri\u00e8re des syst\u00e8mes d\u00e9centralis\u00e9s.\u00a0<\/span>\u00a0<\/span><\/li>\n
                  • La pr\u00e9sence d’une adresse et d’une m\u00e9thode de contrat intelligent indique que le logiciel malveillant r\u00e9cup\u00e8re son domaine de commande et contr\u00f4le (C2) de mani\u00e8re indirecte via des requ\u00eates sur la cha\u00eene de blocs, ce qui complique sa neutralisation et son suivi.<\/span>\u00a0<\/span><\/li>\n
                  • La liste des domaines sur liste noire contient une liste de sites Web li\u00e9s \u00e0 l’inspection de la cha\u00eene de blocs sur lesquels l’extension Web ne fonctionnera pas. Cette mesure vise \u00e0 \u00e9viter d’alerter la victime lorsqu’elle tente de coller sa propre adresse pour consulter le solde de son portefeuille ou v\u00e9rifier les transactions de celui-ci.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n
                    \"Figure\u00a09.
                    Figure\u00a09. Identification du domaine C2 du cybercriminel via un contrat intelligent Ethereum (etherhiding)<\/em><\/figcaption><\/figure>\n
                    \"Figure\u00a010.
                    Figure\u00a010. Charge virale de la requ\u00eate avec l’adresse du contrat Ethereum<\/em><\/figcaption><\/figure>\n
                      \n
                    • L’analyse dynamique a r\u00e9v\u00e9l\u00e9 que le logiciel malveillant obtient son domaine de commande et de contr\u00f4le via un contrat intelligent de cha\u00eene de blocs, qui renvoie le domaine <\/span>devops-offensive[.]cc<\/span><\/i><\/b> lors de l’ex\u00e9cution.\u00a0<\/span>\u00a0<\/span><\/li>\n
                    • La r\u00e9ponse provenant de la cha\u00eene de blocs est d\u00e9cod\u00e9e au moment de l’ex\u00e9cution, r\u00e9v\u00e9lant ainsi le domaine C2 actif (devops-offensive.cc).\u00a0<\/span>\u00a0<\/span><\/li>\n
                    • Ce domaine n’est pas cod\u00e9 en dur, ce qui permet au cybercriminel de mettre \u00e0 jour l’infrastructure sans modifier le logiciel malveillant.\u00a0<\/span>\u00a0<\/span><\/li>\n
                    • Le domaine r\u00e9solu est mis en cache localement afin d’assurer la persistance et de r\u00e9duire le nombre de requ\u00eates r\u00e9seau r\u00e9p\u00e9t\u00e9es.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n
                      \"Figure\u00a011.
                      Figure 11. Cette capture d’\u00e9cran montre la cha\u00eene cod\u00e9e longue contenant le domaine malveillant.<\/em><\/figcaption><\/figure>\n

                      Cette <\/span><\/span>cha\u00eene cod\u00e9e longue est d\u00e9cod\u00e9e \u00e0 l’aide de cette <\/span>fonction<\/span> pour obtenir le domaine final du cybercriminel.<\/span><\/span><\/p>\n

                      \"Figure\u00a012.
                      Figure\u00a012. Cette capture d’\u00e9cran montre le domaine final du cybercriminel.<\/em><\/figcaption><\/figure>\n

                      Techniques de persistance et d’\u00e9vasion<\/span><\/span>\u00a0<\/span><\/h2>\n

                      La strat\u00e9gie de persistance et d’<\/span>\u00e9vasion<\/span> de cette campagne est d\u00e9lib\u00e9r\u00e9e et comporte plusieurs niveaux. Le cybercriminel a clairement <\/span>optimis\u00e9<\/span> son syst\u00e8me en fonction de deux crit\u00e8res\u00a0: une faible visibilit\u00e9 pour l’utilisateur final et une grande r\u00e9sistance \u00e0 la mise hors service et \u00e0 l’analyse statique.<\/span><\/span>\u00a0<\/span><\/p>\n

                      Persistance<\/span>\u00a0<\/span><\/h3>\n
                        \n
                      • L’enregistrement de l’extension via la manipulation des fichiers Secure Preferences garantit que l’extension se chargera \u00e0 chaque d\u00e9marrage ult\u00e9rieur du navigateur sans n\u00e9cessiter de m\u00e9canisme de persistance Windows suppl\u00e9mentaire\u00a0\u2014<\/span>ni cl\u00e9s Run dans le registre, ni t\u00e2ches planifi\u00e9es, ni services que les chasseurs de menaces sur terminaux inspectent g\u00e9n\u00e9ralement.<\/span><\/i><\/b>\u00a0<\/span><\/li>\n
                      • Le mode d\u00e9veloppeur est activ\u00e9 par programmation lorsque cela s’av\u00e8re n\u00e9cessaire, ce qui permet aux extensions d\u00e9compress\u00e9es de rester en place sans d\u00e9clencher le flux p\u00e9riodique d’\u00ab\u00a0avertissement concernant des extensions d\u00e9compress\u00e9es\u00a0\u00bb que Chromium affiche pour dissuader le chargement lat\u00e9ral d’extensions.<\/span>\u00a0<\/span><\/li>\n
                      • Le domaine C2 mis en cache permet \u00e0 l’extension de continuer \u00e0 fonctionner avec un serveur dorsal dont le bon fonctionnement est av\u00e9r\u00e9, m\u00eame si le point de terminaison RPC de la cha\u00eene de blocs est bri\u00e8vement indisponible.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n

                        \u00c9vasion<\/span>\u00a0<\/span><\/h3>\n
                          \n
                        • L’identit\u00e9 visible de l’extension\u00a0\u2014 une simple application de prise de notes appel\u00e9e \u00ab\u00a0Google Notes\u00a0\u00bb\u00a0\u2014 constitue une couverture plausible en cas d’examen superficiel de la liste des extensions install\u00e9es.<\/span>\u00a0<\/span><\/li>\n
                        • Les valeurs HMAC recalcul\u00e9es<\/span> satisfont aux crit\u00e8res de v\u00e9rification de l’int\u00e9grit\u00e9 de Chromium, ce qui permet d’\u00e9viter l’affichage de la banni\u00e8re d’avertissement \u00ab\u00a0Extension install\u00e9e \u00e0 partir d’une source inconnue\u00a0\u00bb qui alerterait l’utilisateur.<\/span>\u00a0<\/span><\/li>\n
                        • Le programme d’installation s’autosupprime apr\u00e8s s’\u00eatre ex\u00e9cut\u00e9, \u00e9liminant ainsi la trace la plus \u00e9vidente de <\/span>la compromission initiale sur le disque.<\/span>\u00a0<\/span><\/li>\n
                        • La r\u00e9solution C2<\/span> via une cha\u00eene de blocs publique signifie qu’aucun domaine C2 persistant n’est observable dans le paquet du logiciel malveillant lui-m\u00eame\u00a0; les d\u00e9tections bas\u00e9es sur le r\u00e9seau et con\u00e7ues \u00e0 partir d’indicateurs cod\u00e9s en dur ne se d\u00e9clencheront pas tant que le domaine n’aura pas \u00e9t\u00e9 r\u00e9solu et contact\u00e9.<\/span>\u00a0<\/span><\/li>\n
                        • Les variantes multilingues du programme d’installation (.NET et Golang) r\u00e9duisent l’efficacit\u00e9 des signatures des artefacts de compilation et des caract\u00e9ristiques binaires.<\/span>\u00a0<\/span><\/li>\n
                        • Le remplacement dynamique des portefeuilles par adresse signifie que les adresses publi\u00e9es des cybercriminels deviennent rapidement obsol\u00e8tes et ne se transforment pas en entr\u00e9es durables dans les listes noires\u00a0\u2014 l’\u00e9quipe de s\u00e9curit\u00e9 doit bloquer le service en arri\u00e8re-plan lui-m\u00eame, et non les adresses qu’il g\u00e9n\u00e8re.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n

                          Logique de substitution des portefeuilles<\/span><\/span><\/span>\u00a0<\/span><\/h2>\n

                          La logique du clipper repose sur deux couches\u00a0: une couche \u00ab\u00a0contenu-script\u00a0\u00bb qui surveille l’activit\u00e9 du presse-papiers et les champs de saisie DOM sur toutes les adresses d’origine visit\u00e9es, et une couche d’arri\u00e8re-plan qui communique avec le serveur dorsal du cybercriminel pour r\u00e9cup\u00e9rer les adresses de remplacement.<\/span><\/p>\n

                          Lorsque l’extension d\u00e9tecte un \u00e9v\u00e9nement de copie, elle applique au contenu du presse-papiers un ensemble d’expressions r\u00e9guli\u00e8res sp\u00e9cifiques aux cryptomonnaies. Si une correspondance est trouv\u00e9e, l’adresse intercept\u00e9e est transmise au serveur dorsal<\/span> du cybercriminel via une requ\u00eate authentifi\u00e9e (l’authentification s’effectuant \u00e0 l’aide de la cl\u00e9 API int\u00e9gr\u00e9e \u00e0 la configuration). Le serveur dorsal r\u00e9pond en fournissant une adresse de remplacement sp\u00e9cifique \u00e0 l’adresse d’origine envoy\u00e9e. L’adresse de remplacement est alors r\u00e9\u00e9crite dans le presse-papiers, \u00e9crasant ainsi l’adresse l\u00e9gitime avant que la victime n’ait le temps de la coller.<\/span><\/p>\n

                          Des tests effectu\u00e9s sur un client dorsal reconstitu\u00e9\u00a0\u2014 cr\u00e9\u00e9 en r\u00e9impl\u00e9mentant en Python le format de requ\u00eate et la logique de d\u00e9codage des r\u00e9ponses de l’extension\u00a0\u2014 ont permis de mettre en \u00e9vidence un profil comportemental r\u00e9v\u00e9lateur\u00a0:<\/span>\u00a0<\/span><\/p>\n

                            \n
                          • Bitcoin<\/span><\/b> (BTC), Ethereum, Bitcoin Cash, Ripple et Dash\u00a0: <\/span><\/b>chaque adresse fournie est associ\u00e9e \u00e0 une adresse unique contr\u00f4l\u00e9e par le cybercriminel. Chaque fois que la m\u00eame adresse originale est envoy\u00e9e, la m\u00eame adresse de remplacement est renvoy\u00e9e, ce qui indique l’existence d’une correspondance d\u00e9terministe un-\u00e0-un g\u00e9r\u00e9e c\u00f4t\u00e9 serveur.<\/span>\u00a0<\/span><\/li>\n
                          • Solana\u00a0: <\/span><\/b>toutes les adresses soumises se r\u00e9sument \u00e0 une seule adresse du cybercriminel, ce qui sugg\u00e8re que la fonctionnalit\u00e9 de mise en correspondance par victime est impl\u00e9ment\u00e9e de mani\u00e8re s\u00e9lective selon la cha\u00eene<\/span>\u00a0<\/span><\/li>\n<\/ul>\n

                            Analyse<\/span> des portefeuilles cryptographiques du cybercriminel<\/span><\/span>\u00a0<\/span><\/h2>\n

                            \u00c0 partir des fragments de code de l’extension Web charg\u00e9e de r\u00e9cup\u00e9rer les adresses de remplacement, un script Python a \u00e9t\u00e9 \u00e9labor\u00e9 afin d’extraire par programmation les adresses de portefeuilles du cybercriminel. La charge virale a \u00e9t\u00e9 con\u00e7ue \u00e0 partir du code du cybercriminel lui-m\u00eame, et le fragment de code \u00ab\u00a0get replacement address\u00a0\u00bb en a \u00e9t\u00e9 directement extrait. La logique utilis\u00e9e par le cybercriminel pour d\u00e9coder les donn\u00e9es re\u00e7ues du serveur C2 a \u00e9galement \u00e9t\u00e9 reproduite fid\u00e8lement dans le script.<\/span><\/p>\n

                            Le script a ensuite \u00e9t\u00e9 ex\u00e9cut\u00e9 \u00e0 l’aide de quelques adresses de portefeuilles Bitcoin (BTC) de test. Les r\u00e9sultats ont montr\u00e9 que, pour chaque adresse Bitcoin fournie, une adresse Bitcoin unique \u00e9tait renvoy\u00e9e en r\u00e9ponse, et que toutes les adresses renvoy\u00e9es correspondaient \u00e0 des portefeuilles BTC valides. Cela signifie que, pour chaque adresse BTC fournie, le cybercriminel g\u00e9n\u00e8re dynamiquement un nouveau portefeuille li\u00e9 \u00e0 cette adresse sp\u00e9cifique. De plus, lorsque cette m\u00eame adresse a \u00e9t\u00e9 fournie \u00e0 nouveau, la m\u00eame adresse BTC a \u00e9t\u00e9 renvoy\u00e9e, ce qui confirme que <\/span>chaque adresse BTC d’une victime est associ\u00e9e de mani\u00e8re d\u00e9terministe \u00e0 une adresse sp\u00e9cifique unique contr\u00f4l\u00e9e par le cybercriminel<\/span><\/b>. Si certains de ces portefeuilles appartenant au cybercriminel contenaient des fonds et d’autres \u00e9taient vides, le nombre total inconnu de ces portefeuilles rend difficile toute estimation fiable du montant total de cryptomonnaie qui a \u00e9t\u00e9 vol\u00e9.<\/span><\/p>\n

                            Le m\u00eame comportement a \u00e9t\u00e9 observ\u00e9 pour Ethereum, pour lequel des adresses de portefeuilles diff\u00e9rentes ont \u00e9t\u00e9 renvoy\u00e9es pour chaque entr\u00e9e. Il est int\u00e9ressant de noter que, lorsque le script a \u00e9t\u00e9 test\u00e9 avec des adresses Solana, une seule adresse a \u00e9t\u00e9 renvoy\u00e9e, quel que soit le nombre d’entr\u00e9es diff\u00e9rentes fournies. Cela semble indiquer que le cybercriminel a mis en place la fonctionnalit\u00e9 de mappage par adresse uniquement pour certaines cryptomonnaies, tandis que pour d’autres, il utilise un seul portefeuille de collecte statique. Comme l’adresse Solana est commune \u00e0 toutes les victimes, une augmentation notable de son solde est observ\u00e9e. Par ailleurs, il s’est av\u00e9r\u00e9 que l’une des adresses Ethereum identifi\u00e9es d\u00e9tenait des fonds pour un montant d’environ 1\u00a0902\u00a0USD.<\/span><\/p>\n

                            En r\u00e9sum\u00e9, les cryptomonnaies<\/strong> pour lesquelles des adresses de portefeuilles uniques sont g\u00e9n\u00e9r\u00e9es pour chaque victime sont notamment le Bitcoin, l’Ethereum, le Bitcoin Cash, le Ripple et le Dash.<\/strong><\/span>\u00a0<\/strong><\/p>\n

                            \"Figure\u00a013.
                            Figure 13. La charge virale a \u00e9t\u00e9 con\u00e7ue comme un code malveillant.<\/em><\/figcaption><\/figure>\n
                            \"Figure\u00a014.
                            Figure\u00a014. Fragment de code permettant d’obtenir l’adresse de remplacement, tir\u00e9 du code du cybercriminel<\/em><\/figcaption><\/figure>\n
                            \"Figure\u00a015.
                            Figure\u00a015. La logique utilis\u00e9e par le cybercriminel pour d\u00e9coder les donn\u00e9es re\u00e7ues du serveur C2 a \u00e9galement \u00e9t\u00e9 impl\u00e9ment\u00e9e.<\/figcaption><\/figure>\n

                            Ex\u00e9cution<\/span> du script avec quelques adresses tests de portefeuilles Bitcoin<\/span><\/span><\/p>\n

                            \"Figure\u00a016.
                            Figure\u00a016. Pour chaque adresse Bitcoin, une adresse Bitcoin unique a \u00e9t\u00e9 renvoy\u00e9e, et toutes les adresses sont des adresses de portefeuilles BTC valides.<\/em><\/figcaption><\/figure>\n
                            \"Figure\u00a017.
                            Figure\u00a017. De m\u00eame, des adresses uniques ont \u00e9t\u00e9 utilis\u00e9es pour Ethereum.<\/em><\/figcaption><\/figure>\n
                            \"Figure\u00a018.
                            Figure\u00a018. Ex\u00e9cution du script pour les adresses tests Solana<\/figcaption><\/figure>\n

                            Heureusement, pour Solana, nous n’obtenons qu’une seule adresse <\/span>lorsque plusieurs <\/span>adresses sont fournies<\/span>. <\/span>Cela<\/span> indique<\/span> que le cybercriminel n’a impl\u00e9ment\u00e9 la fonctionnalit\u00e9 de mappage d’adresses<\/span> que pour certaines cryptomonnaies sp\u00e9cifiques.<\/span><\/span>\u00a0<\/span><\/p>\n

                            \"Figure\u00a019.
                            Figure\u00a019. Vous pouvez voir ici une hausse du montant du solde.<\/em><\/figcaption><\/figure>\n
                            \"Figure\u00a020.
                            Figure\u00a020. L’adresse ETH pr\u00e9sentait un solde de 1\u00a0902\u00a0USD.<\/em><\/figcaption><\/figure>\n

                            Analyse technique <\/span>du fichier<\/span>.net<\/span> (programme d’installation de l’extension)<\/span><\/span>\u00a0<\/span><\/h3>\n
                            \"Figure\u00a021.
                            Figure\u00a021. BaseZipInstaller est un programme d’installation .NET non sign\u00e9.<\/em><\/figcaption><\/figure>\n
                            \"Figure\u00a022.
                            Figure 22. Configuration enregistr\u00e9e telle qu’elle appara\u00eet dans Dnspy<\/em><\/figcaption><\/figure>\n
                              \n
                            • Le logiciel malveillant int\u00e8gre un fichier JSON de configuration complet directement dans le fichier binaire, ce qui lui \u00e9vite de devoir r\u00e9cup\u00e9rer les donn\u00e9es de configuration initiales aupr\u00e8s de sources externes.\u00a0<\/span>\u00a0<\/span><\/li>\n
                            • Cette configuration int\u00e9gr\u00e9e comprend des renseignements essentiels tels que les cl\u00e9s API, l’URL du serveur dorsal, les extensions de portefeuille cibl\u00e9es, ainsi que le manifeste complet de l’extension avec des autorisations \u00e9tendues.\u00a0<\/span>\u00a0<\/span><\/li>\n<\/ul>\n
                              \"Figure\u00a023.
                              Figure\u00a023. Fonction principale \u00e0 partir de laquelle l’ex\u00e9cution commence<\/em><\/figcaption><\/figure>\n
                                \n
                              • Le programme d’installation r\u00e9cup\u00e8re et <\/span>valide<\/span> une archive ZIP distante<\/span> (google-services<\/span>[<\/span>.<\/span>]<\/span>cc\/base<\/span>[<\/span>.<\/span>]<\/span>zip)<\/span>, qui sert de charge virale principale pour le d\u00e9ploiement de l’extension de navigateur malveillante, marquant ainsi le passage de l’infection <\/span>initiale<\/span> \u00e0 la compromission au niveau du navigateur.<\/span><\/span>\u00a0<\/span><\/li>\n<\/ul>\n
                                \"Figure\u00a024.
                                Figure 24. L’extension est cr\u00e9\u00e9e \u00e0 l’emplacement suivant dans le syst\u00e8me, avec des fichiers t\u00e9l\u00e9charg\u00e9s sous le nom base.zip.<\/em><\/figcaption><\/figure>\n
                                \"Figure\u00a025.
                                Figure\u00a025. Dnspy affichant la liste des navigateurs cibl\u00e9s<\/em><\/figcaption><\/figure>\n
                                  \n
                                • Le programme d’installation passe en revue plusieurs navigateurs bas\u00e9s sur Chromium, notamment Chrome, Edge, Opera et Brave, afin d’identifier les profils utilisateur disponibles sur le syst\u00e8me.\u00a0<\/span>\u00a0<\/span><\/li>\n
                                • \u00c0 chaque profil d\u00e9tect\u00e9, le logiciel malveillant ferme de force le processus du navigateur afin de modifier en toute s\u00e9curit\u00e9 les fichiers de configuration sans subir d’interf\u00e9rence.\u00a0<\/span>\u00a0<\/span><\/li>\n
                                • Il injecte ensuite l’extension malveillante en modifiant directement les fichiers Secure Preferences et Preferences, ce qui permet \u00e0 l’extension d’\u00eatre charg\u00e9e sans intervention de l’utilisateur.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n
                                  \"plus<\/div>\n
                                    \n
                                  • Le logiciel malveillant identifie les chemins d’installation des navigateurs en interrogeant les r\u00e9pertoires syst\u00e8me standard, ce qui lui permet de localiser les dossiers de donn\u00e9es utilisateur dans Chrome, Edge, Opera et Brave.\u00a0<\/span>\u00a0<\/span><\/li>\n
                                  • Il r\u00e9pertorie syst\u00e9matiquement les profils de navigateur et recherche sp\u00e9cifiquement la pr\u00e9sence du fichier Secure Preferences, qui stocke des donn\u00e9es essentielles sur la configuration du navigateur et ses extensions.\u00a0<\/span>\u00a0<\/span><\/li>\n
                                  • En ciblant des profils \u00e0 l’aide du fichier Secure Preferences, le logiciel malveillant s’assure de ne modifier que des environnements de navigateur valides, ce qui accro\u00eet la fiabilit\u00e9 de l’injection d’extensions.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n
                                    \"Nous
                                    Nous pouvons voir l’\u00e9v\u00e9nement WriteFile dans le fichier Secure Preferences de Chrome et de Microsoft Edge lorsque les d\u00e9tails de l’extension t\u00e9l\u00e9charg\u00e9e sont enregistr\u00e9s dans ces fichiers de configuration.<\/em><\/figcaption><\/figure>\n
                                    \"Figure\u00a027.
                                    Figure\u00a027. Logique suivie par le cybercriminel pour resigner les fichiers Secure Preferences<\/em><\/figcaption><\/figure>\n
                                      \n
                                    • Le logiciel malveillant lit et modifie le fichier Secure Preferences du navigateur, qui g\u00e8re les extensions install\u00e9es et leur niveau de confiance.\u00a0<\/span>\u00a0<\/span><\/li>\n
                                    • Il injecte l’extension malveillante dans la configuration et tente de resigner les donn\u00e9es modifi\u00e9es, de fa\u00e7on \u00e0 ce que les modifications apparaissent comme l\u00e9gitimes lors des contr\u00f4les d’int\u00e9grit\u00e9 du navigateur.\u00a0<\/span>\u00a0<\/span><\/li>\n
                                    • La configuration mise \u00e0 jour est ensuite r\u00e9\u00e9crite sur le disque, ce qui garantit que l’extension se charge automatiquement et reste active m\u00eame apr\u00e8s le red\u00e9marrage du navigateur.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n
                                      \"Figure\u00a027B.
                                      Figure 27B. Le chemin d’acc\u00e8s \u00e0 l’extension est ajout\u00e9 au fichier Secure Preferences de Chrome.<\/em><\/figcaption><\/figure>\n
                                      \"Figure\u00a028.
                                      Figure\u00a028. Logique permettant de contourner les d\u00e9fenses du navigateur Brave<\/em><\/figcaption><\/figure>\n
                                        \n
                                      • Dans le cas de navigateurs tels que Brave et Opera, le logiciel malveillant injecte l’extension malveillante directement dans la configuration du navigateur en ajoutant des entr\u00e9es dans la section extensions.settings (ou extensions.opsettings).\u00a0<\/span>\u00a0<\/span><\/li>\n
                                      • Il met \u00e9galement \u00e0 jour les champs li\u00e9s \u00e0 l’int\u00e9grit\u00e9 (protection.macs) afin que l’extension inject\u00e9e soit consid\u00e9r\u00e9e comme fiable par le navigateur.\u00a0<\/span>\u00a0<\/span><\/li>\n
                                      • De plus, le logiciel malveillant tente d’activer le mode d\u00e9veloppeur par programmation, de fa\u00e7on \u00e0 permettre aux extensions d\u00e9compress\u00e9es de s’ex\u00e9cuter avec moins de restrictions.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n
                                        \"Figure\u00a029.
                                        Figure\u00a029. Logique suivie par le cybercriminel pour obtenir l’identifiant de l’appareil utilis\u00e9 pour calculer ensuite les valeurs d’int\u00e9grit\u00e9<\/em><\/figcaption><\/figure>\n
                                          \n
                                        • Le logiciel malveillant tente de recalculer les signatures d’int\u00e9grit\u00e9 du navigateur en g\u00e9n\u00e9rant de nouvelles valeurs MAC (Message Authentication Code) pour le fichier Secure Preferences modifi\u00e9.\u00a0<\/span>\u00a0<\/span><\/li>\n
                                        • Il utilise des identifiants propres au syst\u00e8me, tels que le SID de la machine, combin\u00e9s \u00e0 une valeur de d\u00e9part afin de reproduire le m\u00e9canisme de v\u00e9rification interne de Chrome.\u00a0<\/span>\u00a0<\/span><\/li>\n
                                        • En recalculant ces contr\u00f4les d’int\u00e9grit\u00e9 (macs et super_mac), le logiciel malveillant tente de faire passer ses modifications non autoris\u00e9es pour des modifications l\u00e9gitimes aupr\u00e8s du navigateur.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n
                                          \"Figure\u00a030.
                                          Figure 30. Logique d’autosuppression<\/em><\/figcaption><\/figure>\n
                                            \n
                                          • Le logiciel malveillant int\u00e8gre un m\u00e9canisme d’autosuppression con\u00e7u pour supprimer le fichier ex\u00e9cutable du programme d’installation une fois celui-ci ex\u00e9cut\u00e9 avec succ\u00e8s.\u00a0<\/span>\u00a0<\/span><\/li>\n
                                          • Il lance un processus d’invite de commande cach\u00e9 qui retarde bri\u00e8vement l’ex\u00e9cution avant de supprimer le fichier d’origine du disque.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n

                                            Conclusion<\/span>\u00a0<\/span><\/h2>\n

                                            Cette campagne illustre clairement la direction que prend le vol de cryptomonnaies ciblant les particuliers. Le cybercriminel s’est appuy\u00e9 sur la cat\u00e9gorie la plus ancienne et la plus simple de logiciel malveillant cryptographique\u00a0\u2014 le clipper\u00a0\u2014 et a discr\u00e8tement renforc\u00e9 trois de ses maillons les plus faibles. Les adresses statiques du cybercriminel ont \u00e9t\u00e9 remplac\u00e9es par un mappage sp\u00e9cifique \u00e0 chaque victime c\u00f4t\u00e9 serveur. Les domaines de commande et de contr\u00f4le, fragiles et cod\u00e9s en dur, ont \u00e9t\u00e9 remplac\u00e9s par une recherche bas\u00e9e sur la cha\u00eene de blocs, que le cybercriminel peut modifier \u00e0 l’aide d’une seule transaction. Enfin, un injecteur vuln\u00e9rable a \u00e9t\u00e9 remplac\u00e9 par une extension Chromium int\u00e9gr\u00e9e \u00e0 l’application \u00e0 laquelle l’utilisateur fait le plus confiance, charg\u00e9e sous la signature d’int\u00e9grit\u00e9 propre au navigateur.<\/span><\/p>\n

                                            McAfee continuera \u00e0 surveiller cette campagne et l’infrastructure associ\u00e9e<\/strong>. Nos clients sont prot\u00e9g\u00e9s par les m\u00e9canismes de d\u00e9tection existants et b\u00e9n\u00e9ficieront de mises \u00e0 jour bas\u00e9es sur la t\u00e9l\u00e9m\u00e9trie \u00e0 mesure que de nouvelles variantes et des infrastructures modifi\u00e9es seront identifi\u00e9es.<\/span>\u00a0<\/span><\/p>\n

                                            Indicateurs de compromission<\/span><\/span> (IoC)<\/span><\/h2>\n\n\n\n\n\n\n\n\n\n\n
                                            Type<\/span><\/b>\u00a0<\/span><\/td>\nCat\u00e9gorie<\/span><\/b>\u00a0<\/span><\/td>\nValeur<\/span><\/b>\u00a0<\/span><\/td>\n<\/tr>\n
                                            SHA-256<\/span>\u00a0<\/span><\/td>\nProgramme d’installation .NET (BaseZipInstaller)<\/span>\u00a0<\/span><\/td>\n2735e12030c195fb5454e4736c51b55b59664b93cae9f4bd5317afcd9c2af0bf<\/span>\u00a0<\/span> 053620962047f50a91c6e8d1a6519eccc41fab51473f033086b4d816abe8bcb0<\/span>\u00a0<\/span> \u00a0<\/span><\/td>\n<\/tr>\n
                                            SHA-256<\/span>\u00a0<\/span><\/td>\nVariante du programme d’installation compil\u00e9e en Golang<\/span>\u00a0<\/span><\/td>\n11be4c47ff049322de41743f62544cafd32d67e24ad653b7ebedf8ebd63e0962\u2003\u2003<\/span>\u00a0<\/span> 1432393691b415d0cd4680d9cee73e60896fbe63300d9f0355c96e91817e4b1d\u2003\u2003<\/span>\u00a0<\/span><\/td>\n<\/tr>\n
                                            URL<\/span>\u00a0<\/span><\/td>\nDistribution de la charge virale<\/span>\u00a0<\/span><\/td>\nhxxps:\/\/google-services[.]cc\/base[.]zip<\/span>\u00a0<\/span><\/td>\n<\/tr>\n
                                            Domaine<\/span>\u00a0<\/span><\/td>\nCommande et contr\u00f4le (g\u00e9r\u00e9 via un contrat intelligent)<\/span>\u00a0<\/span><\/td>\ndevops-offensive[.]cc<\/span>\u00a0<\/span> Zebregts[.]com<\/span>\u00a0<\/span><\/td>\n<\/tr>\n
                                            Portefeuille BTC<\/span>\u00a0<\/span><\/td>\nPortefeuille cryptographique<\/span>\u00a0<\/span><\/td>\n3JvDBvKbS6YYMKjV3R9e9Zfd67f467fNLy<\/span>\u00a0<\/span> 1BbhVBxpniuZuAL1gGZnEMdQhmz9JGWpyT<\/span>\u00a0<\/span> 3AcPNVh7NyESwX3ECymy3rkdH4Ke2c26Tj<\/span>\u00a0<\/span> 1BVTrB47erypG3tevi1U9Fv6BbNUBEiuiX<\/span>\u00a0<\/span><\/td>\n<\/tr>\n
                                            Artefact<\/span>\u00a0<\/span><\/td>\nCible de chargement lat\u00e9ral<\/span>\u00a0<\/span><\/td>\nFichier Secure Preferences de Chromium (profils Chrome, Edge, Brave et Opera)<\/span>\u00a0<\/span><\/td>\n<\/tr>\n
                                            Fichiers d’extension<\/span>\u00a0<\/span><\/td>\nmanifest.json<\/span> \u00a0<\/span> crypto-patterns.js<\/span>\u00a0<\/span> \u00a0<\/span> Interceptor.js<\/span>\u00a0<\/span> \u00a0<\/span> content-script.j<\/span> \u00a0<\/span> \u00a0<\/span> cache.js<\/span> \u00a0<\/span> \u00a0<\/span> domain-resolver.js<\/span>\u00a0<\/span> \u00a0<\/span> service-worker.js<\/span>\u00a0<\/span> \u00a0<\/span> api-client.js<\/span>\u00a0<\/span><\/td>\ned2599d6a8f30d5eaf14ad7f855aece0acdf7efa4a148eb18e4d9f0d8e2cd90c<\/span> \u00a0<\/span> daf82c67e8e5df6bbd5370172ac9374aa7dce48af05496e8ec3dba7b602c619b<\/span> \u00a0<\/span> 6eb2f07265dd95cacd39dfcf0705786b97f3e173cf4e9b3dfe7bad141c9a9dd5<\/span>\u00a0<\/span> \u00a0<\/span> a2ffdbedc5c9f5400a2b1cf5d35f5ec1df06a74d0345f1035bcf75d36ed73e01<\/span> \u00a0<\/span> \u00a0<\/span> eb84ba4a0cd95655a021865d4fec93ae3393f86cc9848810ed0b49035b1c5e2c<\/span> \u00a0<\/span> 6aaba685669d779ef8be8f7f4231096cfafd0ef386f3897c5e2106c177724fc8<\/span> \u00a0<\/span> \u00a0<\/span> 2599064901308a97540af29197ed0b38702bbee38d6dbbfa61cf9eb5878353f3<\/span> \u00a0<\/span> ab450927b37e1b68e2be68832c354ac600e86e2545a904d4ca0ea283f2600cc2<\/span> \u00a0<\/span> \u00a0<\/span><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n","protected":false},"excerpt":{"rendered":"

                                            Auteur\u00a0: Neil Tyagi R\u00e9sum\u00e9\u00a0 L’\u00e9quipe McAfee Advanced Threat Research a identifi\u00e9 une campagne active recourant \u00e0 des extensions de navigateur…<\/p>\n","protected":false},"author":695,"featured_media":209104,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[13930],"tags":[],"coauthors":[4136],"class_list":["post-232785","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-internet-security"],"acf":[],"yoast_head":"\nSilent Swap\u00a0: une campagne par d\u00e9ploiement d'extensions de type \u00ab\u00a0crypto clipper\u00a0\u00bb | Blog McAfee<\/title>\n<meta name=\"description\" content=\"McAfee a identifi\u00e9 une campagne active recourant \u00e0 des extensions de navigateur pour voler des cryptomonnaies.\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<meta property=\"og:locale\" content=\"fr_CA\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"Silent Swap\u00a0: une campagne par d\u00e9ploiement d'extensions de type \u00ab\u00a0crypto clipper\u00a0\u00bb | Blog McAfee\" \/>\n<meta property=\"og:description\" content=\"McAfee a identifi\u00e9 une campagne active recourant \u00e0 des extensions de navigateur pour voler des cryptomonnaies.\" \/>\n<meta property=\"og:url\" content=\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/crypto-clipper-portefeuille-substitution-navigateur-extension-logiciel-malveillant\/\" \/>\n<meta property=\"og:site_name\" content=\"Blog McAfee\" \/>\n<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/McAfee\/\" \/>\n<meta property=\"article:author\" content=\"https:\/\/www.facebook.com\/McAfee\/\" \/>\n<meta property=\"article:published_time\" content=\"2026-07-07T10:55:29+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg\" \/>\n\t<meta property=\"og:image:width\" content=\"600\" \/>\n\t<meta property=\"og:image:height\" content=\"400\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/jpeg\" \/>\n<meta name=\"author\" content=\"McAfee Labs\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:creator\" content=\"@McAfee_Labs\" \/>\n<meta name=\"twitter:site\" content=\"@McAfee\" \/>\n<meta name=\"twitter:label1\" content=\"\u00c9crit par\" \/>\n\t<meta name=\"twitter:data1\" content=\"McAfee Labs\" \/>\n\t<meta name=\"twitter:label2\" content=\"Estimation du temps de lecture\" \/>\n\t<meta name=\"twitter:data2\" content=\"25 minutes\" \/>\n\t<meta name=\"twitter:label3\" content=\"Written by\" \/>\n\t<meta name=\"twitter:data3\" content=\"McAfee Labs\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\/\/schema.org\",\"@graph\":[{\"@type\":\"Article\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/crypto-clipper-portefeuille-substitution-navigateur-extension-logiciel-malveillant\/#article\",\"isPartOf\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/crypto-clipper-portefeuille-substitution-navigateur-extension-logiciel-malveillant\/\"},\"author\":{\"name\":\"McAfee Labs\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/#\/schema\/person\/86f325fa6532a017d06d6b49a2f3b1ad\"},\"headline\":\"Silent Swap\u00a0: une campagne par d\u00e9ploiement d’extensions de type \u00ab\u00a0crypto clipper\u00a0\u00bb\",\"datePublished\":\"2026-07-07T10:55:29+00:00\",\"mainEntityOfPage\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/crypto-clipper-portefeuille-substitution-navigateur-extension-logiciel-malveillant\/\"},\"wordCount\":5265,\"publisher\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/#organization\"},\"image\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/crypto-clipper-portefeuille-substitution-navigateur-extension-logiciel-malveillant\/#primaryimage\"},\"thumbnailUrl\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg\",\"articleSection\":[\"S\u00e9curit\u00e9 Internet\"],\"inLanguage\":\"fr-CA\"},{\"@type\":\"WebPage\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/crypto-clipper-portefeuille-substitution-navigateur-extension-logiciel-malveillant\/\",\"url\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/crypto-clipper-portefeuille-substitution-navigateur-extension-logiciel-malveillant\/\",\"name\":\"Silent Swap\u00a0: une campagne par d\u00e9ploiement d'extensions de type \u00ab\u00a0crypto clipper\u00a0\u00bb | Blog McAfee\",\"isPartOf\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/#website\"},\"primaryImageOfPage\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/crypto-clipper-portefeuille-substitution-navigateur-extension-logiciel-malveillant\/#primaryimage\"},\"image\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/crypto-clipper-portefeuille-substitution-navigateur-extension-logiciel-malveillant\/#primaryimage\"},\"thumbnailUrl\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg\",\"datePublished\":\"2026-07-07T10:55:29+00:00\",\"description\":\"McAfee a identifi\u00e9 une campagne active recourant \u00e0 des extensions de navigateur pour voler des cryptomonnaies.\",\"breadcrumb\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/crypto-clipper-portefeuille-substitution-navigateur-extension-logiciel-malveillant\/#breadcrumb\"},\"inLanguage\":\"fr-CA\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/crypto-clipper-portefeuille-substitution-navigateur-extension-logiciel-malveillant\/\"]}]},{\"@type\":\"ImageObject\",\"inLanguage\":\"fr-CA\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/crypto-clipper-portefeuille-substitution-navigateur-extension-logiciel-malveillant\/#primaryimage\",\"url\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg\",\"contentUrl\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg\",\"width\":600,\"height\":400},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/crypto-clipper-portefeuille-substitution-navigateur-extension-logiciel-malveillant\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Blog\",\"item\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"autres blogs\",\"item\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/other-blogs\/\"},{\"@type\":\"ListItem\",\"position\":3,\"name\":\"McAfee Labs\",\"item\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/other-blogs\/mcafee-labs\/\"},{\"@type\":\"ListItem\",\"position\":4,\"name\":\"Silent Swap\u00a0: une campagne par d\u00e9ploiement d’extensions de type \u00ab\u00a0crypto clipper\u00a0\u00bb\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/#website\",\"url\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/\",\"name\":\"McAfee Blog\",\"description\":\"Actualit\u00e9s concernant la s\u00e9curit\u00e9 Internet\",\"publisher\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/#organization\"},\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/?s={search_term_string}\"},\"query-input\":{\"@type\":\"PropertyValueSpecification\",\"valueRequired\":true,\"valueName\":\"search_term_string\"}}],\"inLanguage\":\"fr-CA\"},{\"@type\":\"Organization\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/#organization\",\"name\":\"McAfee\",\"url\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/\",\"logo\":{\"@type\":\"ImageObject\",\"inLanguage\":\"fr-CA\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/#\/schema\/logo\/image\/\",\"url\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2023\/02\/mcafee-logo.png\",\"contentUrl\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2023\/02\/mcafee-logo.png\",\"width\":1286,\"height\":336,\"caption\":\"McAfee\"},\"image\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/#\/schema\/logo\/image\/\"},\"sameAs\":[\"https:\/\/www.facebook.com\/McAfee\/\",\"https:\/\/x.com\/McAfee\",\"https:\/\/www.linkedin.com\/company\/mcafee\/\",\"https:\/\/www.youtube.com\/McAfee\"]},{\"@type\":\"Person\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/#\/schema\/person\/86f325fa6532a017d06d6b49a2f3b1ad\",\"name\":\"McAfee Labs\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"fr-CA\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/#\/schema\/person\/image\/af947d76ffbef8521094b476cf8050c3\",\"url\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2017\/07\/Social-Media-PF-Logo-Pic-300x300-2-96x96.jpg\",\"contentUrl\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2017\/07\/Social-Media-PF-Logo-Pic-300x300-2-96x96.jpg\",\"caption\":\"McAfee Labs\"},\"description\":\"McAfee Labs is one of the leading sources for threat research, threat intelligence, and cybersecurity thought leadership. See our blog posts below for more information.\",\"sameAs\":[\"https:\/\/www.linkedin.com\/company\/mcafee\/\",\"https:\/\/www.facebook.com\/McAfee\/\",\"https:\/\/x.com\/McAfee_Labs\"],\"url\":\"https:\/\/www.mcafee.com\/blogs\/fr-ca\/author\/mcafee-labs\/\"}]}<\/script>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"Silent Swap\u00a0: une campagne par d\u00e9ploiement d'extensions de type \u00ab\u00a0crypto clipper\u00a0\u00bb | Blog McAfee","description":"McAfee a identifi\u00e9 une campagne active recourant \u00e0 des extensions de navigateur pour voler des cryptomonnaies.","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"og_locale":"fr_CA","og_type":"article","og_title":"Silent Swap\u00a0: une campagne par d\u00e9ploiement d'extensions de type \u00ab\u00a0crypto clipper\u00a0\u00bb | Blog McAfee","og_description":"McAfee a identifi\u00e9 une campagne active recourant \u00e0 des extensions de navigateur pour voler des cryptomonnaies.","og_url":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/crypto-clipper-portefeuille-substitution-navigateur-extension-logiciel-malveillant\/","og_site_name":"Blog McAfee","article_publisher":"https:\/\/www.facebook.com\/McAfee\/","article_author":"https:\/\/www.facebook.com\/McAfee\/","article_published_time":"2026-07-07T10:55:29+00:00","og_image":[{"width":600,"height":400,"url":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg","type":"image\/jpeg"}],"author":"McAfee Labs","twitter_card":"summary_large_image","twitter_creator":"@McAfee_Labs","twitter_site":"@McAfee","twitter_misc":{"\u00c9crit par":"McAfee Labs","Estimation du temps de lecture":"25 minutes","Written by":"McAfee Labs"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/crypto-clipper-portefeuille-substitution-navigateur-extension-logiciel-malveillant\/#article","isPartOf":{"@id":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/crypto-clipper-portefeuille-substitution-navigateur-extension-logiciel-malveillant\/"},"author":{"name":"McAfee Labs","@id":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/#\/schema\/person\/86f325fa6532a017d06d6b49a2f3b1ad"},"headline":"Silent Swap\u00a0: une campagne par d\u00e9ploiement d’extensions de type \u00ab\u00a0crypto clipper\u00a0\u00bb","datePublished":"2026-07-07T10:55:29+00:00","mainEntityOfPage":{"@id":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/crypto-clipper-portefeuille-substitution-navigateur-extension-logiciel-malveillant\/"},"wordCount":5265,"publisher":{"@id":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/#organization"},"image":{"@id":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/crypto-clipper-portefeuille-substitution-navigateur-extension-logiciel-malveillant\/#primaryimage"},"thumbnailUrl":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg","articleSection":["S\u00e9curit\u00e9 Internet"],"inLanguage":"fr-CA"},{"@type":"WebPage","@id":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/crypto-clipper-portefeuille-substitution-navigateur-extension-logiciel-malveillant\/","url":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/crypto-clipper-portefeuille-substitution-navigateur-extension-logiciel-malveillant\/","name":"Silent Swap\u00a0: une campagne par d\u00e9ploiement d'extensions de type \u00ab\u00a0crypto clipper\u00a0\u00bb | Blog McAfee","isPartOf":{"@id":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/#website"},"primaryImageOfPage":{"@id":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/crypto-clipper-portefeuille-substitution-navigateur-extension-logiciel-malveillant\/#primaryimage"},"image":{"@id":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/crypto-clipper-portefeuille-substitution-navigateur-extension-logiciel-malveillant\/#primaryimage"},"thumbnailUrl":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg","datePublished":"2026-07-07T10:55:29+00:00","description":"McAfee a identifi\u00e9 une campagne active recourant \u00e0 des extensions de navigateur pour voler des cryptomonnaies.","breadcrumb":{"@id":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/crypto-clipper-portefeuille-substitution-navigateur-extension-logiciel-malveillant\/#breadcrumb"},"inLanguage":"fr-CA","potentialAction":[{"@type":"ReadAction","target":["https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/crypto-clipper-portefeuille-substitution-navigateur-extension-logiciel-malveillant\/"]}]},{"@type":"ImageObject","inLanguage":"fr-CA","@id":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/crypto-clipper-portefeuille-substitution-navigateur-extension-logiciel-malveillant\/#primaryimage","url":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg","contentUrl":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg","width":600,"height":400},{"@type":"BreadcrumbList","@id":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/internet-security\/crypto-clipper-portefeuille-substitution-navigateur-extension-logiciel-malveillant\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Blog","item":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/"},{"@type":"ListItem","position":2,"name":"autres blogs","item":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/other-blogs\/"},{"@type":"ListItem","position":3,"name":"McAfee Labs","item":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/other-blogs\/mcafee-labs\/"},{"@type":"ListItem","position":4,"name":"Silent Swap\u00a0: une campagne par d\u00e9ploiement d’extensions de type \u00ab\u00a0crypto clipper\u00a0\u00bb"}]},{"@type":"WebSite","@id":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/#website","url":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/","name":"McAfee Blog","description":"Actualit\u00e9s concernant la s\u00e9curit\u00e9 Internet","publisher":{"@id":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/#organization"},"potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"fr-CA"},{"@type":"Organization","@id":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/#organization","name":"McAfee","url":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/","logo":{"@type":"ImageObject","inLanguage":"fr-CA","@id":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/#\/schema\/logo\/image\/","url":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2023\/02\/mcafee-logo.png","contentUrl":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2023\/02\/mcafee-logo.png","width":1286,"height":336,"caption":"McAfee"},"image":{"@id":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/#\/schema\/logo\/image\/"},"sameAs":["https:\/\/www.facebook.com\/McAfee\/","https:\/\/x.com\/McAfee","https:\/\/www.linkedin.com\/company\/mcafee\/","https:\/\/www.youtube.com\/McAfee"]},{"@type":"Person","@id":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/#\/schema\/person\/86f325fa6532a017d06d6b49a2f3b1ad","name":"McAfee Labs","image":{"@type":"ImageObject","inLanguage":"fr-CA","@id":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/#\/schema\/person\/image\/af947d76ffbef8521094b476cf8050c3","url":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2017\/07\/Social-Media-PF-Logo-Pic-300x300-2-96x96.jpg","contentUrl":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2017\/07\/Social-Media-PF-Logo-Pic-300x300-2-96x96.jpg","caption":"McAfee Labs"},"description":"McAfee Labs is one of the leading sources for threat research, threat intelligence, and cybersecurity thought leadership. See our blog posts below for more information.","sameAs":["https:\/\/www.linkedin.com\/company\/mcafee\/","https:\/\/www.facebook.com\/McAfee\/","https:\/\/x.com\/McAfee_Labs"],"url":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/author\/mcafee-labs\/"}]}},"_links":{"self":[{"href":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/wp-json\/wp\/v2\/posts\/232785","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/wp-json\/wp\/v2\/users\/695"}],"replies":[{"embeddable":true,"href":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/wp-json\/wp\/v2\/comments?post=232785"}],"version-history":[{"count":3,"href":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/wp-json\/wp\/v2\/posts\/232785\/revisions"}],"predecessor-version":[{"id":232793,"href":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/wp-json\/wp\/v2\/posts\/232785\/revisions\/232793"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/wp-json\/wp\/v2\/media\/209104"}],"wp:attachment":[{"href":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/wp-json\/wp\/v2\/media?parent=232785"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/wp-json\/wp\/v2\/categories?post=232785"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/wp-json\/wp\/v2\/tags?post=232785"},{"taxonomy":"author","embeddable":true,"href":"https:\/\/www.mcafee.com\/blogs\/fr-ca\/wp-json\/wp\/v2\/coauthors?post=232785"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}