Que fait Reverse Engineering d'Extensions Navigateur ?
ACTION REQUISE (à lire et exécuter immédiatement)
MAINTENANT: Lire../field-journal/precedent-reverse.mdMAINTENANT: Confirmer que la cible est une extension navigateur (crx/xpi/répertoire extrait), pas du JS de page web ordinaire (page ordinaire →js-reverse/)SUIVANT: Extraire l'extension ; lire le manifestAGIR: Surface de permissions → scripts d'arrière-plan → hooks réseau/stockage
Scénarios d'Utilisation
- Analyse d'extensions Chrome/Edge MV2/MV3
- Extensions Firefox
- Enquête d'IOC d'extensions malveillantes, compromission de chaîne d'approvisionnement d'extensions
- Récupération de logique de signature/chiffrement/proxy implémentée par l'extension
Workflow
1. Paquet
□ Décompresser crx / Prendre le répertoire d'extension du profil
□ manifest.json : permissions, host_permissions, background, content_scripts
□ Évaluer les permissions excessives (<all_urls>, webRequest, debugger)
2. Logique
□ Point d'entrée service_worker / background
□ Points d'injection content_script et monde (isolated)
□ Clés chrome.storage / IndexedDB
□ Identique à `js-reverse` : Observer le réseau et la messagerie (runtime.sendMessage)
3. Dynamique
□ Charger le répertoire extrait en mode développeur
□ Vérifier les erreurs sur chrome://extensions
□ Attacher DevTools au service worker
□ Si nécessaire, Frida / CDP navigateur (jshookmcp)
Chaîne d'Outils
| Outil | Usage |
|---|---|
| décompression/jq | manifest |
| Chrome DevTools | débogage worker |
| Chaîne d'outils js-reverse | JS approfondi |
| YARA | Règles d'extensions malveillantes |
Références
references/extension-analysis.md- Entrées du journal de terrain liées à la récupération d'extensions
../js-reverse/../malware-analysis/
Contexte de Routage
Amont : MASTER R30
Aval : JS fortement obscurci → js-reverse ; enquête de compromission → supply-chain / malware
Auto-Vérification de la Tâche
- La surface de permissions et les scripts d'entrée sont-ils listés ?
- Les flux de données critiques sont-ils reconstitués ?
- Checklist ?