Ces "navigateurs" qui s'installent sans que personne l'ait vraiment demandé, et qui ne repartent pas quand on essaie de les virer. Je les désinstalle régulièrement sur les postes clients, alors autant les comprendre vraiment.
Un browser hijacker, c'est un logiciel qui s'empare de votre navigateur sans vraiment vous le demander. La page d'accueil change. Le moteur de recherche aussi. Des pubs apparaissent là où elles n'ont rien à faire. Et quand vous essayez de remettre les choses en ordre, ça revient.
OneBrowser, PulseBrowser, et leurs dizaines de variantes (Chromstera, Surf Browser, Lark Browser...) appartiennent à une sous-famille particulière : ce sont de vrais navigateurs fonctionnels, basés sur Chromium, le moteur open source derrière Google Chrome, mais modifiés pour servir les intérêts de leurs créateurs plutôt que les vôtres. C'est ce qui les rend efficaces : vous avez l'impression d'utiliser quelque chose de normal. Et techniquement, vous l'utilisez.
On parle ici de PUP, soit Potentially Unwanted Program. La distinction avec un malware classique est à la fois juridique et technique :
| Source | Mécanisme | Niveau |
|---|---|---|
| Injection publicitaire | Le navigateur insère ses propres pubs ou remplace les existantes. Chaque clic rapporte à l'éditeur, pas au site. | courant |
| Détournement de recherche | Votre moteur par défaut redirige via un ID affilié. Chaque recherche génère une commission. | systématique |
| Collecte de données | Historique, recherches, habitudes. Revendus à des data brokers ou utilisés pour du ciblage. | préoccupant |
| Pay-per-install | L'éditeur est payé pour chaque installation réussie par un tiers qui construit des audiences captives. | moteur principal |
Généralement des sociétés enregistrées légalement, souvent en Europe de l'Est, en Israël, ou en Asie du Sud-Est. Plusieurs familles partagent les mêmes réseaux de distribution, les mêmes certificats, parfois les mêmes IPs. Ce n'est pas le chaos, c'est une filière.
C'est la partie que je trouve la plus intéressante. Comment est-ce que ce truc atterrit sur la machine de quelqu'un qui n'en voulait pas ?
Vous téléchargez un convertisseur PDF, un utilitaire de compression, un vieux jeu abandonné. L'installateur est réel, le logiciel fonctionne. Mais une étape propose "en bonus" OneBrowser avec une case pré-cochée et "Suivant" bien visible, tandis que "Refuser" est grisé dans un coin. C'est légal. Et conçu précisément pour que vous passiez à côté.
Des dizaines de sites copient les pages officielles de VLC, 7-Zip, WinRAR avec des URLs quasi identiques. Le logiciel s'installe vraiment, et le PUP en douce avec.
Pop-up en plein milieu d'un site : "Votre navigateur est obsolète. Mettre à jour maintenant." Le fichier téléchargé n'est pas une mise à jour de Chrome.
Des pubs sur des sites légitimes présentent ces navigateurs comme "plus rapides", "plus privés", "plus sécurisés" que Chrome. Le marketing est propre. Les arguments sont invérifiables, et c'est justement le signal.
Ce qui est généralement observé sur cette famille :
C'est la question centrale, et la réponse honnête : ça varie énormément selon le produit et la version.
VM Windows 10 isolée, tout le trafic passe par un proxy d'interception. Snapshot avant infection, pour un retour à l'état propre entre chaque test.
| Outil | Usage |
|---|---|
| Sysinternals Autoruns | Persistence : clés Run, tâches planifiées, extensions |
| Process Monitor | Fichiers et registre touchés en temps réel |
| Process Explorer | Arbre des processus, DLLs chargées |
| Wireshark | Trafic réseau brut |
| Burp Suite Community | Interception et déchiffrement HTTPS |
| PEStudio | Analyse statique : imports, strings, certificats |
| Detect-It-Easy | Identification packers / obfuscateurs |
| x64dbg | Désassemblage sur les parties intéressantes |
| any.run | Sandbox en ligne, pour une première passe comportementale |
Win+R → taskschd.msc → Bibliothèque. Supprimer toute tâche liée.Win+R → regedit → Ctrl+F sur le nom du logiciel dans HKCU\Software, HKLM\Software et toutes les clés Run.%APPDATA%, %LOCALAPPDATA%, %PROGRAMFILES%, %TEMP%.Confirmation empirique sur un poste réel, en dehors de tout environnement de test. Intervention à distance sur une machine où EpiBrowser était installé depuis une durée indéterminée, avec les symptômes attendus : navigateur imposé, aucune sortie propre disponible.
UninstallString dans les clés Uninstall de HKLM/HKCU. Ce qui était supposé en section 01 se confirme ici : il n'y a jamais eu d'intention de fournir une désinstallation fonctionnelle.Trois tâches planifiées coexistaient sur la machine :
La troisième est la plus intéressante : son nom ne mentionne ni "Epi" ni "Browser". Il imite la nomenclature d'une tâche système de supervision, exactement le genre d'entrée qu'on laisse passer en parcourant une liste de 200 tâches planifiées sans s'attarder.
%LOCALAPPDATA%\TEMP\[GUID]or.js. Absent au moment de l'analyse, soit par auto-suppression après exécution, soit par régénération à la volée à chaque déclenchement.cmd.exe et node.exe sont des binaires légitimes et signés. Tout le comportement problématique tient dans un script JS volatil, jamais capturé sur ce poste au moment du contrôle.| Type | Valeur |
|---|---|
| Dossier applicatif | %LOCALAPPDATA%\EPISoftware\ |
| Sous-dossier | %LOCALAPPDATA%\EPISoftware\EpiBrowser\ |
| Tâche planifiée | EpiBrowser-S-1-5-21-[SID] |
| Tâche planifiée | EpiBrowserStartup-S-1-5-21-[SID] |
| Tâche planifiée (masquée) | sys_component_health_[GUID] |
| Binaire abusé (légitime) | %APPDATA%\Programs\nodejs\node.exe |
| Script volatil | %LOCALAPPDATA%\TEMP\[GUID]or.js |
Ces logiciels ne sont pas des accidents. Ils sont conçus, financés, distribués par des gens qui savent exactement ce qu'ils font. La case cochée par défaut dans l'installateur, c'est pas un oubli, c'est le produit.