Parce que… c’est l’épisode 0x645!

Shameless plug

• 12 au 17 octobre 2025 - Objective by the sea v8


• 4 et 5 novembre 2025 - FAIRCON 2025


• 8 et 9 novembre 2025 - DEATHcon


• 17 au 20 novembre 2025 - European Cyber Week


• 25 et 26 février 2026 - SéQCure 2026

Description

Introduction

Dans cet épisode technique, Nicolas et Jordan Théodore abordent un changement de paradigme fondamental en cybersécurité d’entreprise. Le navigateur web est devenu l’élément principal du fonctionnement organisationnel, détrônant le desktop traditionnel. Cette évolution nécessite désormais de détecter et d’intervenir sur les navigateurs comme s’il s’agissait d’endpoints à part entière.

Le navigateur, nouvelle cible privilégiée

Depuis quelques années, les navigateurs web sont devenus une cible de choix pour les cyberattaquants. Cette concentration des attaques s’explique par plusieurs facteurs. La majorité des activités professionnelles transitent maintenant par le navigateur, que ce soit pour les emails, la suite bureautique ou les services en ligne. Cette migration s’est accélérée au cours des dix dernières années avec l’abandon progressif des clients lourds au profit d’applications web, popularisées notamment par Google avec sa suite bureautique entièrement en ligne. Microsoft suit également cette tendance avec la migration de sa propre suite vers le web.

Les attaquants exploitent ce vecteur d’attaque pour diffuser des malwares via des sites piégés, mener des campagnes de phishing particulièrement efficaces, et exploiter les vulnérabilités des navigateurs ou des extensions malveillantes. Les navigateurs modernes sont devenus des environnements riches qui stockent des informations sensibles, des mots de passe, des données en cache et même des bases de données locales, constituant ainsi un tremplin très important pour les acteurs malveillants.

Les vulnérabilités critiques

Jordan illustre la gravité de ces menaces avec des exemples concrets de vulnérabilités récentes. En 2023, des failles critiques dans la librairie libwebp ont été notées 8.8 sur l’échelle CVSS V3, affectant tous les navigateurs basés sur Chromium, notamment Chrome, Edge et Brave, ainsi que parfois Firefox. Ces vulnérabilités exploitent souvent des techniques classiques comme le buffer overflow ou la corruption de stack.

L’exemple le plus frappant concerne une faille permettant l’exécution de code arbitraire simplement par le chargement d’une image webp mal formée dans une page HTML. L’utilisateur n’a qu’à visiter une page contenant l’image malveillante pour que son navigateur vulnérable soit compromis, avec un minimum d’interaction. Cette simplicité d’exploitation est particulièrement préoccupante car ces images peuvent être hébergées sur des plateformes légitimes comme OneDrive, Dropbox ou Google Drive, contournant ainsi les filtres de proxy traditionnels qui autorisent généralement ces services d’entreprise.

Les défis du déploiement en entreprise

Dans les grandes organisations, comme l’exemple donné d’une entreprise du CAC 40 comptant 17 000 employés en France et 130 000 dans le monde, la mise à jour des navigateurs n’est pas aussi simple qu’il y paraît. Le taux de convergence du déploiement peut être considérablement long, particulièrement avec la généralisation du télétravail. Cette fenêtre d’exposition prolongée nécessite des solutions alternatives pour pallier le délai d’application des correctifs.

Les solutions de sécurité

Face à ces menaces, trois couches de défense principales ont émergé. Les EDR (Endpoint Detection and Response) jouent toujours un rôle crucial en suivant les activités côté poste client et en détectant les comportements suspects. Par exemple, CrowdStrike a récemment ajouté des capacités dédiées pour inventorier les extensions Chrome et Edge, vérifier leurs niveaux de permission et identifier les sources douteuses. Un EDR bien configuré peut détecter des comportements anormaux comme Chrome déclenchant une commande exécutable. Cependant, les EDR sont de plus en plus facilement contournés par des techniques avancées qui patchent les mécanismes de détection.

Une nouvelle couche de défense s’est donc développée directement au sein des navigateurs avec les extensions de sécurité. Ces modules additionnels peuvent bloquer activement les contenus malveillants et surveiller les actions utilisateur. On trouve des solutions open source comme Privacy Badger ou NoScript, ainsi que des produits commerciaux comme Capsule Security et Square X offrant de l’isolement à distance.

Ces extensions assurent plusieurs fonctions essentielles. Elles filtrent les URL en bloquant l’accès aux pages exploitant des CVE ou hébergeant des malwares. Elles analysent le contenu avant téléchargement en scannant les fichiers HTML, JavaScript et images avant leur exécution complète. Elles bloquent les scripts inconnus, réduisant la surface d’exploitation, et protègent contre les publicités malveillantes, l’injection de code via iframes et le fingerprinting. Elles intègrent également des fonctionnalités DLP pour éviter l’upload de fichiers corporates sur internet, notamment vers des services comme ChatGPT où les employés peuvent involontairement partager des informations sensibles.

L’extension développée par Glims, par exemple, vérifie tout contenu téléchargé pour détecter les malwares et contrôle les données uploadées pour prévenir les fuites d’information, incluant le copier-coller vers des sites externes. Ces extensions envoient des signaux au SOC (Security Operations Center) pour une meilleure visibilité et permettent d’intervenir rapidement si nécessaire.

Les navigateurs sécurisés

Au-delà des extensions, des navigateurs pensés pour la sécurité ont émergé. Brave, lancé il y a six ans, force l’accès HTTPS, filtre le phishing et bloque contenus indésirables, publicités et trackers. Des solutions comme Island et Talon proposent des navigateurs basés sur Chromium avec des contrôles de sécurité et DLP intégrés, bloquant par exemple les impressions d’écran et le copier-coller sur certains sites.

Limites et complémentarité

Les extensions ne peuvent pas tout faire. Elles ne voient pas ce qui se passe en mémoire et ne détectent pas les exploits de type use-after-free ou corruption mémoire. Elles peuvent être désactivées via JavaScript par click-jacking et ne protègent pas l’OS. D’où l’importance d’une approche complémentaire combinant EDR et extensions de navigateur.

Bonnes pratiques en entreprise

Pour renforcer la sécurité, les organisations doivent forcer une liste blanche d’extensions via GPO, installer des extensions de sécurité managées pour remonter les informations au SOC, utiliser un bon EDR pour surveiller toutes les extensions, et corréler les logs du navigateur avec ceux des endpoints lors des investigations. Le navigateur doit être considéré comme un petit poste à l’intérieur du grand poste pour tracer efficacement les actions malveillantes.

Cette approche représente une nouvelle réalité de la cybersécurité où les attaquants s’adaptent constamment, nécessitant une évolution parallèle des défenses.

Collaborateurs

• Nicolas-Loïc Fortin


• Jordan Theodore

Crédits

• Montage par Intrasecure inc


• Locaux virtuels par Riverside.fm