{"id":141439,"date":"2025-08-24T11:11:56","date_gmt":"2025-08-24T09:11:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ataka-na-brauzernye-dopolneniya-s-menedzherami-parolej-ispolzuyushhaya-klikdzheking"},"modified":"2026-01-24T17:56:45","modified_gmt":"2026-01-24T15:56:45","slug":"ataka-na-brauzernye-dopolneniya-s-menedzherami-parolej-ispolzuyushhaya-klikdzheking","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/ataka-na-brauzernye-dopolneniya-s-menedzherami-parolej-ispolzuyushhaya-klikdzheking","title":{"rendered":"Attaque contre les extensions de navigateur utilisant le clickjacking avec des gestionnaires de mots de passe","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Lors de la conf\u00e9rence DEF CON 33, une m\u00e9thode d'attaque sur les extensions de navigateur a \u00e9t\u00e9 pr\u00e9sent\u00e9e, permettant d'ins\u00e9rer des \u00e9l\u00e9ments d'interface dans la page consult\u00e9e. L'application de cette attaque aux extensions de gestion de mots de passe peut entra\u00eener la fuite d'informations stock\u00e9es dans ces gestionnaires, telles que les param\u00e8tres d'authentification, les informations de cartes de cr\u00e9dit, les donn\u00e9es personnelles et les mots de passe \u00e0 usage unique pour l'authentification \u00e0 deux facteurs. Le probl\u00e8me concerne tous les gestionnaires de mots de passe test\u00e9s, y compris 1Password, Bitwarden, LastPass, KeePassXC-Browser, NordPass, ProtonPass et Keeper. <\/p>\n
La m\u00e9thode d'attaque repose sur le fait que les extensions de navigateur int\u00e8grent une bo\u00eete de dialogue avec une demande de saisie automatique de mot de passe directement sur la page affich\u00e9e, int\u00e9grant ainsi leurs \u00e9l\u00e9ments dans le DOM (Document Object Model) de cette page. Si l'attaquant a la possibilit\u00e9 d'ex\u00e9cuter son code JavaScript sur la page, par exemple en exploitant une vuln\u00e9rabilit\u00e9 XSS sur le site, il peut manipuler tous les \u00e9l\u00e9ments du DOM, y compris ceux int\u00e9gr\u00e9s par les extensions de navigateur. <\/p>\n
Parmi d'autres, il est possible de rendre la bo\u00eete de dialogue de confirmation transparente et d'aligner spatialement le bouton dans cette bo\u00eete avec le bouton de la bo\u00eete de dialogue factice cr\u00e9\u00e9e par l'attaquant, incitant l'utilisateur \u00e0 cliquer. Des dialogues factices peuvent consister en de fausses demandes d'autorisation de cookies, des banni\u00e8res publicitaires ou des formulaires avec CAPTCHA. En pla\u00e7ant la bo\u00eete de dialogue factice sous la bo\u00eete de dialogue transparente du gestionnaire de mots de passe et en alignant les emplacements des boutons \u00e0 l'\u00e9cran, on peut amener l'utilisateur \u00e0 cliquer sur le bouton de confirmation pour remplir les param\u00e8tres d'authentification dans la bo\u00eete de dialogue du gestionnaire de mots de passe, alors que l'utilisateur croira qu'il a cliqu\u00e9, par exemple, sur le bouton de fermeture de la fen\u00eatre publicitaire.
<\/center> <\/p>\n
L'attaque se r\u00e9sume aux \u00e9tapes suivantes : <\/p>\n
\n
Cr\u00e9ation d'un \u00e9l\u00e9ment intrusif sur la page incitant \u00e0 un clic.\n
Ajout d'un formulaire web \u00e0 la page pour la connexion ou le remplissage de donn\u00e9es personnelles.\n
D\u00e9finir la transparence pour le formulaire web («opacity: 0.001» en CSS).\n
Utilisation de la m\u00e9thode focus() pour mettre le focus sur un champ du formulaire, entra\u00eenant l'activation de la bo\u00eete de dialogue d'autocompl\u00e9tion du gestionnaire de mots de passe.\n
Recherche de la bo\u00eete de dialogue du gestionnaire de mots de passe dans le DOM et application de transparence \u00e0 celle-ci.\n
Attente d'un clic de l'utilisateur sur un \u00e9l\u00e9ment visible et intrusif de la page, qui, avec une bonne combinaison d'\u00e9l\u00e9ments visibles et invisibles, conduira \u00e0 cliquer sur un bouton dans une bo\u00eete de dialogue transparente et \u00e0 remplir les champs par le gestionnaire de mots de passe.\n
Extraction des donn\u00e9es d'un formulaire web rempli et envoi de celles-ci sur le serveur de l'attaquant. <\/ul>\n
Puisque le remplissage automatique des param\u00e8tres d'authentification dans le gestionnaire de mots de passe ne s'active que pour les sites sur lesquels ces param\u00e8tres ont \u00e9t\u00e9 enregistr\u00e9s, pour organiser une attaque, il est n\u00e9cessaire d'avoir la possibilit\u00e9 d'ex\u00e9cuter son code JavaScript sur le site cibl\u00e9 ou sur un sous-domaine. Ainsi, pour mener l'attaque, il faut soit obtenir un sous-domaine du m\u00eame domaine que le site cibl\u00e9, soit trouver une vuln\u00e9rabilit\u00e9 XSS sur le site permettant d'injecter son code dans le contenu affich\u00e9 \u00e0 l'utilisateur. <\/p>\n
Il est \u00e0 noter que de nombreux utilisateurs utilisent un seul gestionnaire de mots de passe tant pour stocker les param\u00e8tres de connexion que pour g\u00e9n\u00e9rer des mots de passe \u00e0 usage unique pour l'authentification \u00e0 deux facteurs, ce qui permet d'appliquer la m\u00e9thode d'attaque \u00e9voqu\u00e9e lors du remplissage automatique des mots de passe \u00e0 usage unique. Par exemple, une attaque a \u00e9t\u00e9 d\u00e9montr\u00e9e sur le site issuetracker.google.com, contenant une vuln\u00e9rabilit\u00e9 XSS. Pour obtenir les param\u00e8tres de connexion et le code pour l'authentification \u00e0 deux facteurs, il suffit d'envoyer \u00e0 l'utilisateur un lien exploitant la vuln\u00e9rabilit\u00e9 XSS et de provoquer trois clics gr\u00e2ce \u00e0 des substituts de requ\u00eates intrusives (autorisation du traitement des cookies, autorisation de la personnalisation et acceptation de la politique de confidentialit\u00e9).
![\"Attaque](\"\/wp-content\/uploads\/2025\/08\/9df2f88789928b98278bb49ac8522c38.png\")
<\/center> <\/p>\n