Une extension Chrome posée sans le Web Store

Ce qui se passe

PEEP est une boîte à outils de post-exploitation pour navigateurs Chromium, documentée par SOCRadar. Elle se présente comme une extension de marque-pages, Smart Bookmarks, identifiant ejkndncpkdcjcikfhiamcdehdoegilbj.

Le mot post-exploitation est la première chose à retenir : PEEP n'a aucun vecteur d'accès initial. L'opérateur doit déjà disposer d'un accès administrateur ou d'une exécution de code sur la machine. Ce qu'elle apporte, c'est ce qui vient après.

Le mécanisme

Chromium conserve dans un fichier nommé Secure Preferences des valeurs d'intégrité qui servent précisément à détecter les extensions ajoutées dans le dos de l'utilisateur. L'installeur de PEEP recalcule ces valeurs, et l'extension devient légitime aux yeux du navigateur : pas de passage par le Web Store, pas d'invite d'autorisation.

Trois scripts s'en chargent, plus un équivalent Linux :

• install_silent.ps1 — active le mode développeur pour permettre le chargement d'extensions arbitraires ;
• patch_secure_prefs.ps1 — corrige le fichier Secure Preferences ;
• force_enable.ps1 — retire l'extension de external_uninstalls, place le CRX dans %LOCALAPPDATA%\PEEP\crx, la réenregistre via la clé HKCU Extensions et un manifeste External Extensions JSON, puis redémarre le navigateur ;
• patch_secure_prefs_linux.py — même fonction, pour Linux.

La persistance s'appuie aussi sur les stratégies d'entreprise ExtensionInstallForcelist et ExtensionSettings, et sur un repli par ScriptCache.

Ce que fait l'agent

Une fois en place, l'extension interroge son serveur de commande et contrôle toutes les 30 secondes, en HTTP en clair, sur /api/commands. Les serveurs observés sont 206.237.30[.]232 et xfjcc[.]fun.

Les points d'entrée du panneau, utiles pour la détection réseau :

Les commandes purement navigateur — captures d'écran, presse-papiers, injection de JavaScript — s'exécutent localement. Pour tout ce qui touche le système, l'extension appelle un binaire de messagerie native, com.peep.lab/nm_host.exe : commandes shell, gestion de fichiers, découverte de processus et de services. C'est ce pont qui fait passer l'outil du voleur d'identifiants au véritable accès distant.

Pourquoi ça compte

PEEP est un dérivé de RedExt, un cadre open source d'analyse de données de navigateur et de red team, déjà employé dans les attaques GlassWorm. Elle y ajoute des routines d'installation dédiées, le pont natif, la télémétrie de présence, un canal de mise à jour et un jeu de commandes plus large.

L'argument technique de SOCRadar est celui qui doit changer une pratique de détection : « parce que sa logique s'exécute à l'intérieur du processus signé du navigateur, elle échappe aux détections portant sur des binaires nouveaux ou non signés ». Le navigateur devient le point de pivot vers le système.

À retenir

L'activité n'est pas attribuée, malgré des artefacts en chinois dans le code source. L'ampleur observée reste modeste : le point /health affichait 34 entrées d'agents, 10 sessions actives et 507 enregistrements, sans qu'on puisse distinguer les vraies machines des tests. SOCRadar note aussi des références à un « Authorized CTF », cadrage qui a pu servir à abaisser les garde-fous d'outils d'IA pendant le développement.

Le geste utile aujourd'hui : auditer les extensions installées par stratégie d'entreprise, pas seulement celles que vos utilisateurs ont choisies.

Source : PEEP Turns Chrome and Edge Into Post-Compromise Backdoors for Host Command Execution