Comment un mineur furtif s'est invité dans votre navigateur : l'attaque supply chain de Hola Browser

Un banal contrôle de certification en juin 2026 a levé le voile sur une attaque sophistiquée de la chaîne d'approvisionnement ciblant les utilisateurs de Hola Browser sous Windows. Les chercheurs de Sophos X-Ops ont découvert un exécutable non déclaré, me.exe, intégré à l'installateur officiel. Ce fichier n'était pas une erreur bénigne : il s'agissait d'un mineur de cryptomonnaie XMRig conçu pour extraire du Monero en secret sur les machines infectées .

La découverte, faite lors de tests de certification AppEsteem sur la version 1.251.91.0 de Hola Browser, était d'autant plus alarmante que le fichier malveillant ne faisait pas partie du progiciel certifié du navigateur. Sophos a évalué l'incident comme une compromission du pipeline de distribution, ce qui signifie qu'un attaquant a injecté la charge utile dans le processus de compilation ou de packaging après l'écriture du code légitime. Des enquêteurs indépendants, dont ceux de Sygnia, ont corroboré cette évaluation par la suite .

Comment le mineur furtif opérait

La charge utile XMRig a été conçue pour la discrétion. Contrairement aux logiciels malveillants agressifs qui signalent leur présence par des ralentissements, ce mineur était configuré pour ne fonctionner que lorsque le système hôte était inactif, minimisant ainsi le risque d'être détecté par l'utilisateur .

Une fois installé, le malware assurait sa persistance par une série d'actions délibérées :

• Placement du fichier : Le mineur se copiait dans

  C:\Program Files\Hola\HolaMonitorService.exe

  , un chemin et un nom de fichier conçus pour ressembler à un composant légitime de surveillance du navigateur .
• Création d'un service : Il créait un service Windows nommé hola_monitor_svc configuré avec un type de démarrage 0x00000002, garantissant son lancement automatique à chaque démarrage du système .
• Contournement de Defender : Pour échapper aux analyses antivirus intégrées, le malware ajoutait un chemin d'exclusion pour Windows Defender .
• Obscurcissement et anonymat : Le binaire me.exe n'était pas signé, était obscurci et n'avait pas d'horodatage valide. Les chercheurs en sécurité ont noté que le nom du fichier lui-même semblait avoir été choisi pour son apparence anodine, lui permettant de se fondre dans les processus légitimes .

Une surface d'attaque limitée mais sérieuse

L'ampleur de la compromission était relativement restreinte. Sophos a estimé qu'environ 0,1 % des utilisateurs de Hola Browser ont été touchés . Bien qu'il s'agisse d'une petite fraction de la base d'utilisateurs, l'incident représente un cas d'école d'attaque de la chaîne d'approvisionnement : un canal de distribution de logiciels de confiance retourné contre ses utilisateurs, contournant le contrôle de sécurité normal que ces derniers accordent aux installateurs officiels.

L'attaque n'était pas une brèche du code source de Hola. Elle a plutôt mis en lumière la vulnérabilité du pipeline de compilation et de publication des logiciels – un rappel que même lorsque les développeurs écrivent du code propre, une compromission lors de la compilation, du packaging ou de la distribution peut empoisonner le produit final .

La réponse de Hola

Une fois que Sophos X-Ops a signalé la découverte, Hola a pris des mesures pour contenir la menace et éviter une récidive. Les mesures de remédiation de l'entreprise comprenaient :

• La reconstruction du pipeline de distribution à partir de zéro pour éliminer tout accès résiduel de l'attaquant .
• La mise en place d'une vérification de signature de code pour empêcher les binaires non signés et non autorisés de passer à travers le processus de compilation .
• L'introduction de contrôles d'accès plus stricts et d'une surveillance continue sur son infrastructure de distribution .

Malgré ces mesures, au moment de la divulgation publique le 4 juin 2026, des questions cruciales restent sans réponse. Hola n'a pas révélé publiquement le vecteur d'attaque – comment le pipeline a été initialement franchi – ni l'identité de l'acteur malveillant, ni la durée de son accès. L'image médico-légale complète reste fermée au public, une lacune qui laisse à la fois les utilisateurs et la communauté de la sécurité avec une leçon de prudence mais une compréhension incomplète de la menace .