Supprimer une extension Chrome malveillante qui revient

↑ Ce conseil fait partie du guide : Ordinateur et appareils piratés

Comment supprimer une extension malveillante sur Chrome ?

Ouvrez chrome://extensions, relevez l'ID de 32 lettres de l'extension suspecte, puis cliquez sur Supprimer et relancez le navigateur. Si le bouton est grisé et qu'un bandeau annonce une gestion par votre organisation, une règle a été posée sur l'ordinateur : c'est elle qu'il faut retirer d'abord, dans chrome://policy puis dans le registre Windows.

1. Ouvrir chrome://extensions dans la barre d'adresse
2. Relever l'ID de 32 lettres de l'extension
3. Cliquer sur Supprimer, puis relancer Chrome
4. Vérifier chrome://policy si le bouton est grisé
5. Chercher ce qui la réinstalle au démarrage
6. Changer les mots de passe, l'extension une fois partie

Les signes qui accusent une extension

Commençons par le tri, parce que la moitié des appels que je reçois sur ce sujet désigne le mauvais coupable. Une extension de navigateur se reconnaît à quatre symptômes précis, et la lenteur n'en fait pas partie :

1. Le moteur de recherche change, et il revient. Vous remettez Google dans les réglages, tout est normal, et deux heures plus tard la barre d'adresse renvoie ailleurs. Une extension a le droit de réécrire ce réglage à chaque démarrage ; un logiciel installé, lui, le fait une fois.
2. La page du nouvel onglet n'est plus la vôtre. Elle affiche des vignettes de sites que vous ne visitez pas, ou un champ de recherche inconnu.
3. Des publicités apparaissent dans des pages sérieuses. Des mots soulignés deux fois au milieu d'un article, un bandeau greffé au-dessus des résultats de recherche, une fenêtre de sondage à l'ouverture d'un onglet. Le site n'y est pour rien : quelque chose modifie la page après son arrivée.
4. Le symptôme vous suit sur un autre ordinateur. C'est le signe le plus parlant, et personne n'en parle. Si le même comportement apparaît sur une machine neuve dès que vous vous connectez à Chrome avec votre compte Google, ce n'est pas un virus sur le disque : c'est une extension que la synchronisation transporte.

Et voici ce qui n'accuse aucune extension. Des notifications qui s'ouvrent même navigateur fermé viennent d'une autorisation donnée à un site ; les quatre cachettes sont détaillées dans les publicités qui s'ouvrent seules. Un ordinateur lent est traité dans PC lent, virus ou vieillesse. Et une publicité qui n'apparaît que sur le téléphone ne peut pas venir d'un module : Chrome pour Android n'accepte pas les extensions.

L'ID de l'extension : 32 lettres entre a et p

Tapez chrome://extensions dans la barre d'adresse. Vous obtenez une fiche par extension, avec son nom, son interrupteur et un bouton Détails. En haut à droite de cette page, activez Mode développeur : chaque fiche affiche alors son ID.

Cet ID obéit à une règle vérifiable en deux secondes : il fait exactement 32 caractères, et ce sont uniquement des lettres minuscules comprises entre a et p. Jamais un chiffre, jamais une majuscule, jamais une lettre après le p. Chrome calcule en effet une empreinte de la clé publique de l'éditeur, puis remplace les seize symboles de l'écriture hexadécimale par les seize premières lettres de l'alphabet. Cet ID désigne donc le même éditeur d'un ordinateur à l'autre, quel que soit le nom affiché sur l'extension.

Deux usages immédiats. Collé à la suite de chrome://extensions/?id=, il ouvre directement la fiche détaillée du module. Collé à la suite de chromewebstore.google.com/detail/, il ouvre la page du magasin : si cette page ne s'ouvre pas, l'extension a été retirée du Chrome Web Store, ou n'y a jamais figuré. C'est le contrôle le plus rapide qui existe.

Ce que dit la fiche	Ce que ça signifie	Ce qu'on en fait
Identifiant présent dans le Chrome Web Store	Installation ordinaire depuis le magasin	Lire ses autorisations avant de conclure
Identifiant introuvable dans le magasin	Retirée par Google, ou installée hors magasin	Supprimer
« Chargée sans être empaquetée »	Chargée depuis un dossier du disque dur	Supprimer, puis effacer le dossier indiqué
« Installée par une règle d'entreprise »	Une règle du système la réinstalle	Retirer la règle avant tout le reste

Cliquez enfin sur Détails et descendez jusqu'aux autorisations. Une seule ligne compte vraiment : « Lire et modifier toutes vos données sur tous les sites web ». Elle veut dire ce qu'elle dit. Un bloqueur de publicités en a légitimement besoin, une extension de prise de notes ou de conversion de devises n'a aucune raison de l'exiger. C'est l'écart entre le service rendu et l'autorisation demandée qui doit vous alerter, pas le nombre de lignes.

La supprimer, en 5 gestes

Dans l'ordre, et sans sauter le premier — c'est le seul qui ne se rattrape pas.

1. Notez-la avant de la supprimer. Nom exact, ID de 32 lettres, et une capture d'écran de la fiche. Une extension supprimée ne laisse rien derrière elle : si vous devez plus tard comprendre ce qui est parti, ou déposer plainte, cet ID est la seule pièce qui datera les faits.
2. Coupez l'interrupteur avant de supprimer. L'effet s'arrête aussitôt, et si un site que vous utilisez cesse de fonctionner, vous savez laquelle c'était. Sur un navigateur qui en porte une dizaine, coupez-les toutes, puis rallumez-les une par une.
3. Cliquez sur Supprimer, et cochez le signalement. La fenêtre de confirmation propose de signaler l'extension au Chrome Web Store. Cochez la case : c'est ce qui la fait retirer pour les autres, et cela ne vous coûte rien.
4. Fermez Chrome entièrement, puis relancez-le. Entièrement veut dire qu'aucune icône Chrome ne subsiste près de l'horloge : le navigateur continue parfois de tourner en arrière-plan, et un processus resté en mémoire réécrit le profil en partant.
5. Remettez d'aplomb ce que l'extension avait changé, car la supprimer n'annule pas ses modifications : moteur de recherche par défaut, page de démarrage, page du nouvel onglet, notifications autorisées.

Quand le bouton Supprimer est grisé

C'est la situation qui amène le plus de monde ici, et la plus mal expliquée. La fiche de l'extension affiche une corbeille grise sur laquelle rien ne se passe, la mention « Installée par un administrateur », et le menu du navigateur porte une ligne « Géré par votre organisation ». Vous n'avez pourtant aucune organisation.

Ce n'est pas un bogue de Chrome : le navigateur obéit à une règle posée sur l'ordinateur et refuse de la contredire. Ce mécanisme existe pour les entreprises, qui déploient ainsi une extension sur des centaines de postes ; il est détourné pour la rendre indélogeable. Tant que la règle est là, cliquer ne servira à rien.

Trois adresses répondent à la question, dans cet ordre :

• chrome://management vous dit si le navigateur est réellement géré, et par qui. Sur un ordinateur personnel sain, la page annonce qu'il ne l'est pas.
• chrome://policy liste les règles appliquées. Cliquez sur Recharger les règles, puis cherchez ExtensionInstallForcelist ou ExtensionSettings : leur valeur contient l'ID de 32 lettres de l'extension que vous n'arrivez pas à retirer.
• chrome://extensions redevient utilisable dès que la règle est partie.

Sous Windows, cette règle vit dans le registre, à HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome et dans son jumeau HKEY_CURRENT_USER. Le repère utile est celui-ci : sur une machine de particulier, ces clés n'existent tout simplement pas — je l'ai vérifié sur la machine depuis laquelle j'écris, les deux sont absentes. Si elles sont là et qu'elles portent l'ID relevé plus haut, la ligne se supprime, Chrome se ferme, se rouvre, et la corbeille de l'extension redevient cliquable. Sur Mac, le même verrou prend la forme d'un profil de configuration, dans Réglages système, Confidentialité et sécurité.

Quand elle revient au démarrage

Vous l'avez supprimée, elle était bien partie, et le lendemain matin elle est revenue au même endroit. Il n'y a que trois explications, et la première est de loin la plus fréquente.

1. La synchronisation la repousse

Les extensions font partie de ce que Chrome synchronise avec votre compte Google, au même titre que les favoris. Supprimez-la sur l'ordinateur fixe alors que le portable, resté connecté au même compte, l'a toujours : elle reviendra. Le nettoyage se fait donc sur tous les appareils connectés, ou bien on coupe la synchronisation des extensions le temps de l'opération, dans les paramètres de synchronisation du compte.

Pensez aussi aux autres profils du navigateur. Chrome permet plusieurs profils, chacun avec ses propres extensions : celui que vous n'ouvrez jamais peut très bien porter la coupable, et l'ouvrir une fois par mois suffit à relancer le symptôme.

2. Une règle du système la réinstalle

C'est la section précédente. Une extension forcée par règle est réinstallée à chaque lancement du navigateur, dans la seconde, sans message. Si elle réapparaît instantanément à l'ouverture de Chrome plutôt qu'au bout de quelques minutes, cherchez la règle avant tout le reste.

3. Un raccourci ou un programme la recharge

Faites un clic droit sur le raccourci Chrome, puis Propriétés, et lisez le champ Cible. Après chrome.exe entre guillemets, il ne doit rien y avoir : ni une adresse de site, ni un --load-extension= suivi d'un chemin. Vérifiez tous les raccourcis, pas seulement celui du bureau : barre des tâches, menu Démarrer, et celui que vous ouvrez réellement le matin.

Si la fiche de l'extension portait la mention « Chargée sans être empaquetée », elle vient d'un dossier du disque dur dont le chemin est affiché juste en dessous. Supprimez le dossier, sinon elle se rechargera. Regardez enfin du côté du démarrage de Windows, onglet Démarrage du gestionnaire des tâches, et du planificateur de tâches. Quand ces trois pistes sont propres et que le module revient quand même, le navigateur n'est plus le problème : un programme installé sur la machine le réinstalle, et c'est tout l'ordinateur qu'il faut reprendre — voir mon ordinateur est-il piraté et le nettoyage après infection.

Ce qu'elle a eu le temps de lire

Il faut le dire franchement, parce que les articles sur le sujet le passent sous silence : une extension autorisée à lire et modifier toutes vos données a vu tout ce qui est passé dans ce navigateur — le contenu des pages, les champs des formulaires, et les jetons de session qui vous gardent connecté à vos comptes.

Une nuance, en revanche : elle ne peut pas ouvrir le coffre des mots de passe enregistrés dans Chrome. Ce coffre lui est fermé. Mais elle lit ce que le remplissage automatique écrit dans la page, ce qui revient au même pour les sites ouverts pendant qu'elle était installée. D'où l'ordre des gestes :

1. Supprimez l'extension d'abord. Un mot de passe changé avant elle repart par le même chemin que l'ancien.
2. Changez les mots de passe des comptes ouverts dans ce navigateur, en commençant par la boîte mail — c'est elle qui permet de réinitialiser tous les autres. Un gestionnaire de mots de passe évite de réutiliser le même, et l'alerte de Chrome sur les mots de passe compromis est expliquée dans l'alerte de mot de passe de Chrome.
3. Déconnectez toutes les sessions actives sur les comptes importants. Un changement de mot de passe ne suffit pas toujours : un jeton de session volé reste valable jusqu'à ce qu'on le révoque explicitement.
4. Activez la double authentification là où elle manque, et vérifiez qu'aucune règle de transfert automatique n'a été ajoutée à votre messagerie — le contrôle est détaillé dans compte Gmail piraté.

Ce qui ne sert à rien

• Vider les cookies. Cela vous déconnecte de tous vos comptes et ne touche pas aux extensions : elles ne sont pas des cookies.
• Chercher l'outil de nettoyage de Chrome. Le vieux chrome://settings/cleanup a été retiré par Google en 2023 : les articles qui vous y envoient sont périmés.
• Réinstaller le navigateur, puisque le profil lui survit, donc la liste des extensions aussi.
• Compter les dossiers d'extensions sur le disque. Chrome y range ses propres composants internes : il y a toujours plus de dossiers que d'extensions affichées, et cet écart n'a jamais rien prouvé.
• Chercher une extension sur le téléphone. Chrome pour Android n'en accepte pas. Une publicité qui revient sur mobile vient d'une application installée ou d'un autre navigateur — voir téléphone Android infecté.

Si le bouton reste grisé, si l'extension revient malgré ces trois pistes, ou si vous préférez ne pas manipuler le registre à l'aveugle, c'est ce que couvre une assistance à distance : on ouvre chrome://policy ensemble, on retire la règle, on vérifie les autres appareils du compte. Le déroulé de la prise en main et les tarifs sont affichés ; le diagnostic au téléphone dure quinze minutes et ne coûte rien.

Questions fréquentes

Une extension peut-elle lire les mots de passe enregistrés dans Chrome ?

Non : le coffre des mots de passe enregistrés lui est fermé. En revanche, une extension autorisée à « lire et modifier toutes vos données » voit ce que vous tapez dans un formulaire de connexion, et ce que le remplissage automatique y écrit. Le résultat est le même.

Pourquoi une extension que j'utilisais depuis des années affiche-t-elle des publicités ?

Parce qu'une extension change parfois de propriétaire, et que Chrome met les extensions à jour tout seul, sans rien demander ni rien annoncer. Le module que vous avez installé et celui qui tourne aujourd'hui peuvent n'avoir en commun que le nom et l'ID.

Comment savoir si une extension est encore dans le Chrome Web Store ?

Collez son ID à la suite de chromewebstore.google.com/detail/ dans la barre d'adresse. Si la fiche ne s'ouvre pas, l'extension a été retirée du magasin ou n'y a jamais été publiée. Dans les deux cas, elle n'a plus rien à faire dans votre navigateur.

« Géré par votre organisation » sur un ordinateur personnel, est-ce un piratage ?

Pas forcément. Certains antivirus et certains logiciels livrés avec la machine posent aussi des règles Chrome, tout à fait légitimes. Ce qui tranche, c'est chrome://policy : il nomme la règle et affiche sa valeur. Une règle qui force une extension s'y lit noir sur blanc.

Et sur Edge, Firefox ou Safari ?

La mécanique est la même. Edge accepte les extensions Chrome et se règle dans edge://extensions, avec ses propres règles d'entreprise ; Firefox parle de modules complémentaires, dans about:addons ; Safari les range dans ses réglages, onglet Extensions.

Dois-je porter plainte ?

Oui dès qu'il y a eu une conséquence : un compte perdu, un paiement, des messages envoyés en votre nom. Gardez une capture de la fiche de l'extension, ID compris, avant de la supprimer : c'est la seule pièce qui datera les faits.

À lire aussi : les publicités qui s'ouvrent seules · un logiciel espion sur l'ordinateur · faut-il installer les mises à jour.