Publié le 20 octobre 2025. Une campagne de spam massive ciblant les utilisateurs brésiliens via WhatsApp a été découverte, impliquant plus de 130 extensions pour Google Chrome conçues pour automatiser l’envoi de messages et contourner les systèmes anti-spam de la plateforme.
- Des chercheurs en cybersécurité ont identifié 131 extensions de navigateur partageant le même code source et la même infrastructure, utilisées pour diffuser des messages WhatsApp en masse.
- Ces extensions se présentent comme des outils de gestion de la relation client (CRM) pour WhatsApp, promettant d’augmenter les ventes, mais servent en réalité à automatiser le spam.
- L’activité est en cours depuis au moins neuf mois, avec de nouvelles versions et mises à jour des extensions régulièrement observées.
Des experts en cybersécurité ont mis au jour une campagne coordonnée exploitant 131 clones d’une extension d’automatisation Web WhatsApp pour Google Chrome. L’objectif : inonder les utilisateurs brésiliens de messages indésirables à grande échelle. Selon la société de sécurité de la chaîne d’approvisionnement Socket, ces 131 extensions de spamware partagent une base de code commune, des schémas de conception similaires et une infrastructure identique. Elles comptent collectivement environ 20 905 utilisateurs actifs.
« Il ne s’agit pas de logiciels malveillants traditionnels, mais plutôt d’une automatisation du spam à haut risque qui enfreint les règles de la plateforme », explique Kirill Boychenko, chercheur en sécurité.
« Le code s’injecte directement dans la page Web de WhatsApp, s’exécutant aux côtés des propres scripts de WhatsApp, automatise la diffusion et la planification en masse de manière à contourner l’application anti-spam de WhatsApp. »
Kirill Boychenko, chercheur en sécurité
L’objectif principal de cette campagne est de permettre l’envoi de messages via WhatsApp en contournant les limites de débit et les contrôles anti-spam mis en place par la plateforme de messagerie.
Bien que les extensions arborent différents noms et logos, la majorité d’entre elles ont été publiées par « WL Extensão » et sa variante « WLExtensao ». Les chercheurs pensent qu’il s’agit d’un modèle de franchise, permettant à des filiales d’inonder le Chrome Web Store avec divers clones de l’extension originale proposée par une société nommée DBX Tecnologia. Ces extensions se présentent comme des outils de gestion de la relation client (CRM) pour WhatsApp, promettant aux utilisateurs de maximiser leurs ventes grâce à la version Web de l’application. Par exemple, la description de ZapVende sur le Chrome Web Store indique :
« Transformez votre WhatsApp en un puissant outil de vente et de gestion des contacts. Avec Zap Vende, vous disposerez d’un CRM intuitif, d’une automatisation des messages, d’une messagerie groupée, d’un entonnoir de vente visuel et bien plus encore. »
DBX Tecnologia propose même un programme de revendeur en marque blanche, permettant à des partenaires potentiels de renommer et de vendre son extension Web WhatsApp sous leur propre marque, avec la promesse de revenus récurrents allant de 30 000 à 84 000 R$ (réal brésilien) pour un investissement de 12 000 R$.
Cette pratique constitue une violation des règles du Chrome Web Store de Google concernant le spam et les abus, comme le précise la politique de Google, qui interdit aux développeurs et à leurs affiliés de soumettre plusieurs extensions offrant des fonctionnalités dupliquées. DBX Tecnologia a également publié des vidéos YouTube expliquant comment contourner les algorithmes anti-spam de WhatsApp lors de l’utilisation de ces extensions.
« Ce cluster est composé de copies presque identiques réparties sur les comptes des éditeurs, est commercialisé pour une diffusion massive non sollicitée et automatise l’envoi de messages sur web.whatsapp.com sans confirmation de l’utilisateur », a souligné Boychenko. « L’objectif est de maintenir les campagnes de masse tout en évitant les systèmes anti-spam. »
Cette découverte intervient alors que Trend Micro, Sophos et Kaspersky mettent en lumière une campagne à grande échelle ciblant les utilisateurs brésiliens avec un ver WhatsApp baptisé SORVEPOTEL, utilisé pour distribuer un cheval de Troie bancaire nommé Maverick.
Pour aller plus loin
