Mozilla publie Firefox 142. Cette version apporte des nouveautés pensées pour améliorer la confidentialité, la navigation et les outils pour les développeurs.
Cet article Firefox 142 débarque : nouveautés, améliorations et correctifs de sécurité a été publié en premier par GinjFo.
Bon, vous m’avez demandé que je démêle le vrai du faux dans cette histoire de Firefox qui se transforme en aspirateur à batterie, alors allons-y. Je vous spoile quand même, c’est à la fois pire et moins grave que ce qu’on raconte ^^.
D’abord, parlons de cette solution miracle que personne ne vous donne dans les articles alarmistes. Ouvrez about:config, cherchez browser.tabs.groups.smart.enabled et mettez-le à false. Pareil pour browser.ml.chat.enabled. Voilà, problème réglé. Il y a même une ribambelle d’autres paramètres liés si vous voulez vraiment tout virer mais attendez avant de tout désactiver, laissez-moi vous expliquer ce qui se passe vraiment.
Alors oui, Firefox 141 s’est vu ajouter des groupes d’onglets assistés par IA qui peuvent automatiquement regrouper vos tabs selon leur contenu. Et oui, plusieurs utilisateurs se sont plaints sur Reddit de voir leur CPU grimper en flèche et leur batterie fondre comme neige au soleil. Apparemment, le coupable serait un processus appelé “Inference” qui gère toute cette magie IA en local.
Mais, non, Mozilla ne vous espionne pas avec cette IA car tout le traitement se fait sur votre machine. Rien, absolument rien n’est envoyé dans le cloud. C’est d’ailleurs pour ça que ça bouffe autant de ressources… C’est votre pauvre ordinateur qui fait tout le boulot tout seul.
Maintenant, le problème technique que personne n’explique vraiment c’est que Mozilla a choisi d’utiliser le format ONNX de Microsoft au lieu du format GGUF. Pour faire simple, GGUF est spécialement optimisé pour faire tourner de l’IA sur CPUavec une meilleure quantization, tandis qu’ONNX est plus généraliste. Donc c’est pas optimal mais plus adapté à un logiciel qui sert à plein de choses comme Firefox.
Firefox essaie ainsi de rattraper Chrome et Edge qui ont déjà leurs propres fonctionnalités IA, mais en y allant avec les pieds dans le plat. L’idée de regrouper automatiquement les onglets n’est pas mauvaise en soi et le système peut même suggérer d’autres onglets à ajouter au groupe basé sur le contenu. C’est super pratique sur le papier, mais c’est la cata en pratique si votre machine n’est pas une bête de course.
Les problèmes de conso batterie de Firefox ne datent pas d’hier et cette controverse IA vient juste s’ajouter à une longue liste de plaintes sur la consommation excessive du navigateur. Certains utilisateurs rapportent même que chaque mise à jour empire la situation mais sans le prouver avec des benchmarks ou des mesures fiables. Tout ceci c’est un peu des retours au feeling et la grande méchante IA, c’est juste la goutte d’eau qui fait déborder le vase.
Mozilla a déjà eu des controverses avec l’IA en début d’année avec des changements de conditions d’utilisation qui avaient fait flipper tout le monde. Ils avaient alors dû clarifier qu’ils n’utilisaient pas les données des utilisateurs pour entraîner des modèles. Mais cette fois, c’est différent, car l’IA tourne bien en local, mais elle bouffe vos ressources au passage.
Donc ce que je peux vous dire c’est que toute cette controverse est à moitié justifiée. OUI, les fonctionnalités IA de Firefox 141 peuvent effectivement faire exploser votre consommation CPU et vider votre batterie mais NON, ce n’est pas une catastrophe universelle. Ça dépend juste de votre config et de votre usage. Si vous avez 50 onglets ouverts sur un laptop de 2018, oui, vous allez souffrir. Si vous avez une machine récente et que vous utilisez Firefox normalement, vous ne remarquerez peut-être même pas la différence.
Le vrai problème en fait, c’est que Mozilla a activé ces nouvelles fonctionnalités par défaut sans vraiment prévenir les utilisateurs ni optimiser correctement le code. Ils auraient pu utiliser GGUF, ils auraient pu rendre ça opt-in, ils auraient pu mieux communiquer. Mais au lieu de ça, ils ont balancé ça dans une mise à jour et maintenant ils se prennent une volée de bois vert.
Alors, que faire ?
Et bien si vous avez des problèmes de performance, désactivez les fonctions IA via about:config. Et si vous voulez tester mais que vous trouvez ça trop gourmand, attendez quelques versions, car Mozilla finira probablement comme d’hab par optimiser tout ça.
Et fuck Chrome et tous ses dérivés ! (Oui c’était gratuit !)
Un million de dollars ! C’est ce que les pirates de l’opération GreedyBear ont déjà siphonné dans des plugins Firefox de portefeuilles crypto. Et pour cela, ils ont utilisé 150 extensions malveillantes, créant ainsi la plus grosse vague d’attaque jamais vue sur le store d’add-ons de Mozilla. C’est Koi Security qui vient de révéler l’ampleur du carnage, et franchement, c’est du jamais vu.
Vous installez tranquillement ce qui ressemble à MetaMask sur Firefox. L’icône est identique, le nom est presque pareil, et le truc a même 500 reviews et 5 étoiles. Sauf que voilà, l’extension n’a que 200 installations actives. Les calculs sont pas bons, Kévin !!
Mais bon, qui vérifie ce genre de détails quand on est pressé d’acheter du Dogecoin parce que tonton Elon a dit que c’était trop bien ?
Les pirates ont commencé leur petit manège en avril de cette année, et il y aurait encore une 40aine d’extensions frauduleuses qui circulent. Ils clonent le code open source de vrais wallets, injectent leur saloperie de keylogger dedans, et hop, c’est parti pour la récolte. MetaMask, TronLink, Rabby, Trust Wallet, Coinbase, Phantom, Exodus… Toutes les grosses pointures y sont passées.
Pour bien comprendre comment ça a pu passer dans la toile de la modération du store, il faut savoir que ces extensions commencent leur vie innocemment. Les pirates uploadent d’abord des versions totalement clean, attendent qu’elles passent la validation, puis balancent une mise à jour avec le code malveillant. C’est ce qu’on appelle du bait and switch de compétition. Et une fois installées, ces petites merveilles enregistrent tout ce que vous tapez sur les sites de crypto et envoient vos identifiants sur des serveurs louches.
Yuval Ronen de Koi Security explique que cette attaque est peu coûteuse à déployer, maintient une apparence crédible et réduit le risque de détection immédiate.
Les chercheurs soupçonnent même que de l’IA aide les attaquants à créer des schémas à grande échelle et à se remettre en selle rapidement après des suppressions totales. En gros, quand Mozilla supprime leurs extensions, ils en recréent 10 nouvelles en deux minutes grâce à ChatGPT, Claude ou leurs copains.
Les extensions utilisent des noms comme “trust-extension-wallet”, “okx-wallet-extension1” ou mon préféré à moi : “official-metamask-wallet”. Celui là c’est l’officiel non-officiel, un classique ! Ces extensions gonflent ensuite artificiellement leur popularité avec des centaines de fausses reviews qui dépassent largement le nombre réel d’installations.
Mozilla a évidemment réagi en supprimant une bonne partie des extensions identifiées, et développe depuis peu un nouveau système de détection automatique. L’équipe Add-ons Operations de Mozilla dit traquer ce genre de menaces depuis des années, mais visiblement, les pirates ont toujours un coup d’avance.
En plus, le bilan est assez salé avec 1,7 milliard de dollars perdus dans ces wallets rien qu’au premier semestre. Et ça, c’est juste sur 34 pauvres attaques documentées. GreedyBear et ses 150 extensions contribuent donc généreusement à ces statistiques déprimantes.
Pour éviter de vous faire plumer, mon conseil est simple mais vital : téléchargez vos extensions de wallet UNIQUEMENT depuis les sites officiels des projets. Pas depuis le store Firefox, pas depuis un lien dans un email, pas depuis une pub sur un site de streaming chelou. Direct depuis le site officiel et c’est tout.
Et vérifiez les reviews. Si une extension a 500 reviews, 5 étoiles mais seulement 100 installations, fuyez. Si le nom contient “official” mais que ce n’est pas le compte vérifié du projet, fuyez. Si l’extension vous demande votre seed phrase juste après l’installation, fuyez (et changez tous vos mots de passe tant qu’à faire).
J’adore les extensions mais le problème c’est qu’elles ont accès à tout ce que vous faites en ligne. Elles peuvent voir vos mots de passe, lire vos emails, accéder à vos comptes bancaires. Et surtout elles peuvent changer de comportement après installation… sans que vous le sachiez.
Mozilla promet de renforcer ses contrôles, mais en attendant, la vigilance reste votre meilleure défense, parce qu’avec 1 million de dollars déjà volés d’après Koi Security, les pirates de GreedyBear ne vont pas s’arrêter de sitôt. Surtout qu’avec l’IA de leur côté, ils peuvent créer des clones d’extensions plus vite que Mozilla ne peut les supprimer.
J’ai reçu ce matin un email de Mozilla qui tire la sonnette d’alarme !! Une vague de phishing cible actuellement les développeurs Firefox, donc si vous avez reçu un email vous demandant de “mettre à jour votre compte Add-ons”, méfiance !
En effet, Mozilla vient de détecter une campagne de phishing assez vicieuse qui s’en prend spécifiquement aux développeurs d’extensions Firefox. Les pirates envoient des emails frauduleux en se faisant passer pour Mozilla, avec un message du style “Votre compte Mozilla Add-ons nécessite une mise à jour pour continuer à accéder aux fonctionnalités développeur”.
Sauf que non, Mozilla n’a jamais envoyé ce genre d’email et ce qui est vicieux dans cette histoire, c’est que les attaquants changent régulièrement leur message pour contourner les avertissements. Donc voilà, même si Mozilla prévient sur un type de message, il faut rester vigilant car le suivant pourrait être différent.
Pour vous protéger, Mozilla recommande plusieurs trucs assez basiques mais efficaces. Déjà, ne cliquez sur aucun lien dans les emails suspects. Ensuite, vérifiez toujours que l’expéditeur utilise bien un domaine Mozilla officiel qui est firefox.com, mozilla.org, mozilla.com ou leurs sous-domaines. Pas de mozilla-addons.net ou autres variantes bizarres !
Un autre point important aussi, vérifiez que l’email passe bien les contrôles SPF, DKIM et DMARC. Ces protocoles permettent de valider l’authenticité de l’expéditeur. Heureusement, la plupart des clients mail modernes affichent ces infos quelque part dans les détails du message.
Et surtout, règle d’or, ne saisissez jamais vos identifiants Mozilla ailleurs que sur mozilla.org ou firefox.com. Si un lien dans un email vous tente fortement, tapez manuellement l’URL dans votre navigateur ou un moteur de recherche plutôt que de cliquer. Ça évite les redirections malveillantes.
Cette campagne de phishing arrive dans un contexte où la sécurité des extensions Firefox est déjà sous tension car en juillet, plus de 40 extensions malveillantes ont été découvertes sur le store Firefox. Ces fausses extensions se faisaient passer pour des wallets crypto populaires (Coinbase, MetaMask, Trust Wallet…) et volaient les secrets des utilisateurs.
Les pirates utilisaient même des centaines de faux avis 5 étoiles pour paraître légitimes, c’est pourquoi dace à ces menaces, Mozilla a développé un système de détection précoce pour bloquer les extensions frauduleuses avant qu’elles ne deviennent populaires. Mais bon, ça reste un jeu du chat et de la souris avec les attaquants.
Cette nouvelle attaque montre bien que les développeurs sont des cibles de choix pour les pirates car avec un compte développeur compromis, les attaquants peuvent potentiellement publier des mises à jour malveillantes d’extensions légitimes et toucher des milliers d’utilisateurs. Raison de plus donc pour rester parano sur la sécurité de vos comptes !
Alors si comme moi, vous êtes développeur d’extensions Firefox, restez sur vos gardes car la prudence reste votre meilleure défense contre ces attaques de phishing de plus en plus sophistiquées.
Vous jonglez entre Firefox, Chrome et trois autres navigateurs, et vos favoris sont éparpillés partout ? Gosuki vient de sortir et c’est exactement l’outil qu’il vous faut ! Il s’agit d’un gestionnaire de bookmarks qui surveille TOUS vos navigateurs en temps réel, sans extension ni cloud.
Développé par blob42, ce projet open source règle un problème qu’on a tous à savoir l’impossibilité de gérer efficacement ses favoris quand on utilise plusieurs navigateurs. Et entre nous, qui n’a pas Firefox pour le perso, Chrome pour le boulot, et peut-être Qutebrowser pour faire le geek ?
Vous en avez marre de Google News, de ses bulles de filtre et de ses articles de merde écrit par IA ? Et bien sachez qu’il y a un mec en France qui a développé Meta-Press.es, un moteur de recherche de presse décentralisé qui tourne directement dans votre Firefox. Zéro tracking, zéro pub, et ça cherche dans 900 journaux d’un coup.
Simon Descarpentries, développeur basé dans les Deux-Sèvres et patron de la société de services en logiciels libres Acoeuro, a pondu cette extension après avoir bossé pendant 5 ans sur les revues de presse pour La Quadrature du Net et le résultat est bluffant.
Vous savez ce qui me rend dingue sur YouTube ces derniers temps ? Ce sont les traductions automatiques merdiques de Google… Vous cliquez sur une vidéo de l’un de vos youtubeurs anglophone préféré et PAF, YouTube vous balance un doublage français qui ne ressemble à rien, vignette et description comprises.
Et le pire dans tout ça, c’est qu’on ne peut même pas désactiver cette merde dans les paramètres. Nada, que dalle, rien. Google a donc décidé que vous alliez bouffer de la traduction automatique et vous alliez aimer ça. Sauf que non.
Connexion