Une faille de sécurité menace Google Chrome sur Windows, exploitée dans des attaques de phishing pour contourner les protections du Privacy Sandbox et infecter des PC. Google a réagi en urgence avec une mise à jour de sécurité.

Découverte par les chercheurs Boris Larin et Igor Kuznetsov de Kaspersky, cette faille permet de contourner le Privacy Sandbox, censé protéger la vie privée des utilisateurs. Elle résulte d’un défaut dans “l’interaction entre le bac à sable de Chrome et Windows“. “Cette vulnérabilité se distingue des dizaines de failles que nous avons découvertes au fil des ans. L’exploit a contourné la protection du bac à sable de Chrome sans effectuer d’opérations manifestement malveillantes, comme si la couche de sécurité n’existait tout simplement pas“, explique Boris Larin à 01net.

Google confirme que cette faille a été activement exploitée, sans révéler tous les détails. Kaspersky précise qu’elle a servi à diffuser des virus via Chrome, notamment dans le cadre de l’Opération ForumTroll. Des organisations russes ont été visées par des e-mails frauduleux contenant des invitations à un faux événement scientifique, redirigeant vers un site malveillant. “Les courriels malveillants contenaient des invitations soi-disant des organisateurs d’un forum scientifique et d’experts, […] ciblant les médias, les établissements d’enseignement et les organisations gouvernementales en Russie”, rapporte Kaspersky. “Dans tous les cas, l’infection s’est déclenchée dès que la victime a cliqué sur un lien dans un e-mail de phishing, ouvrant ainsi le site des attaquants via Google Chrome. Aucune autre action n’était requise pour compromettre l’appareil“, ajoute Kaspersky.

Google a rapidement publié un correctif. La mise à jour 134.0.6998.178 pour Windows est en cours de déploiement. “Nous conseillons vivement à tous les utilisateurs de mettre à jour leur navigateur Chrome, et tout autre navigateur basé sur Chromium vers la version la plus récente afin de se protéger contre cette vulnérabilité“, rappelle l’un des chercheurs.  Vous pouvez installer cette mise à jour sans tarder en accédant à la section À propos de Google Chrome et en cliquant sur Relancer. La vigilance reste de mise face aux tentatives de phishing.