Un gestionnaire de mot de passe sert de coffre-fort à l’utilisateur qui souhaite stocker tous ses identifiants dans un seul endroit. Bitwarden, l’un des outils open source les plus populaires du marché, n’est pas à l’abri d’une attaque.
Bitwarden : cette annonce est un piège bien pensé
Par Aghiles Slamani
Publié le 20/11/2024 à 07:00
Avec un cryptage de bout en bout, une prise en charge cross-plateformes, ainsi qu’une authentification multifacteurs, Bitwarden est un logiciel qui est aussi complet que sécurisé. Malheureusement, de fausses campagnes sur les réseaux sociaux, notamment sur Facebook, font la promotion d’une extension malveillante exploitant son nom et sa notoriété.
Bitwarden : un piège bien ficelé vous guette
Les nombreuses cyberattaques ont forcé de nombreux internautes à chercher des alternatives pour mieux sécuriser leurs mots de passe, ainsi que leurs comptes. Bitwarden s’est d’ailleurs fait une place de choix en proposant des protections simplifiées et une interface utilisateur conviviale. Malheureusement, une campagne de malvertising (publicités en ligne infectées par un virus) se fait passer pour le fameux coffre-fort a été détectée par Bitdefender Labs. Selon les chercheurs, l’opération a débuté le 3 novembre 2024.
Selon Bleeping Computer, le principe de fonctionnement de cette campagne est simple : une publicité vient avertir les utilisateurs de Facebook qu’ils utilisent une « version obsolète » de Bitwarden et qu’ils doivent impérativement la mettre à jour afin de sécuriser leurs comptes. L'annonce inclut le lien « chromewebstoredownload[.]com », qui prétend être celui de Chrome Web Store officiel de Google, dont l'adresse est « chromewebstore.google.com ». Cela signifie que la victime est redirigée vers une fausse page au design ressemblant fortement à celui du magasin d'extensions du célèbre moteur de recherche et appuie sur « Ajouter à Chrome » sans se rendre compte de la supercherie.
De quoi est capable ce malware ?
Ce faisant, la victime pense télécharger l’extension Bitwarden. Or, elle se retrouve avec un fichier ZIP issu d’un dossier Google Drive. Des instructions sont fournies sur la page Web pour installer ledit fichier pour tromper davantage la vigilance de l’utilisateur. Ce dernier doit activer le « mode développeur » sur Chrome et charger l’extension manuellement, ce qui peut paraître normal pour les non-habitués, mais particulièrement inquiétant pour ceux ayant un minimum d'expérience.
Une fois que le malware est en place, il est enregistré sous le nom de « Bitwarden Password Manager ». Il est capable de collecter :
- Les cookies Facebook, en particulier « c_user » contenant l'identifiant de l'utilisateur.
- Les données IP et de géolocalisation par le biais d’API numériques.
- Les détails d’un utilisateur Facebook, ses informations de compte, ainsi que ses données de facturation via l'API Graph.
Il peut également fausser le DOM (Document Object Model) du navigateur pour afficher de faux messages à des fins d’escroquerie, ou encore encoder les données sensibles et les transmettre à une URL Google Script gérée par des attaquants.
Afin de se prémunir d’une telle attaque, il est conseillé d’ignorer ce genre de publicité et de se rappeler que les extensions Chromes sont automatiquement mises à jour. Si l’utilisateur souhaite le faire manuellement, il peut toujours se rendre dans le site officiel de Bitwarden. Il convient de noter qu’il ne faut jamais accorder d'autorisations agressives, telles que l’accès aux cookies ou aux demandes réseau.