Supprimer le malware ModHeader et nettoyer ce qu'il a laissé derrière lui

Ce qui a été rapporté (version 60 secondes)

• Début juillet 2026, Google a signalé ModHeader comme malware et l'a désactivé, et Microsoft l'a retiré de la boutique de modules Edge (autour du 3 juillet ; la fiche Chrome était hors ligne vers le 10 juillet).
• Des chercheurs ont rapporté que la version 7.0.18 de ModHeader embarquait un SDK caché — dissimulé dans un fichier déguisé en bibliothèque de dates (dayjs.min-*.js) — qui collectait les domaines que vous visitiez, les chiffrait en AES-GCM et les envoyait en POST une fois par jour vers un collecteur tiers à api.stanfordstudies.com/app/log (un site intitulé « Stanford Studies », sans aucun lien réel avec l'université de Stanford).
• Ampleur rapportée : environ 900 000 installations Chrome plus environ 700 000 sur Edge (soit ~1,6 million au total). Certains articles ne citent que le chiffre d'environ 800 000 installations Chrome.
• Nuance importante : selon les chercheurs, le collecteur a été livré dormant, derrière une allowlist vide — dans leurs tests, rien n'est sorti — mais l'endpoint, la clé et le planificateur étaient tous en place et une mise à jour ultérieure aurait pu les activer. Il faut donc y voir un risque d'exposition sérieux, pas une fuite massive confirmée.

Si ModHeader est encore installé chez vous, la recommandation générale est de le supprimer. Voici comment le faire proprement.

Étape 1 — Vérifier si vous êtes concerné

Ouvrez chrome://extensions (et edge://extensions si vous utilisez Edge), puis activez le mode développeur pour afficher les numéros de version.

• Nom : ModHeader — Modify HTTP headers
• ID de l'extension : idgpnmonknjnojddfkpgkljpfnnfcklj
• Version incriminée : 7.0.18 (si vous êtes sur cette version, considérez-vous comme concerné)

Si le contrôle de sécurité de Chrome affiche déjà « Cette extension contient un logiciel malveillant », vous êtes au bon endroit — ne vous contentez pas de fermer l'avertissement, allez au bout du nettoyage ci-dessous. Voici à quoi ressemble l'avertissement en question :

Étape 2 — Supprimer l'extension (Chrome et Edge)

1. Ouvrez chrome://extensions → trouvez ModHeader → cliquez sur Supprimer → confirmez. Refaites la même chose dans edge://extensions.
2. Si le navigateur l'a déjà désactivée, laissez-la désactivée et cliquez quand même sur Supprimer — la désactivation empêche l'exécution mais n'efface pas les données en cache.
3. Répétez l'opération dans chaque profil de navigateur où elle était installée (chaque profil Chrome est indépendant).

Étape 3 — Supprimer les données locales résiduelles

La désinstallation efface généralement l'essentiel, mais les données en cache de l'extension — dont les chercheurs rapportent qu'elles pouvaient largement dépasser 100 Mo d'en-têtes de requête/réponse stockés, incluant potentiellement des tokens et des cookies — subsistent parfois. Par prudence, supprimez ceux de ces dossiers qui existent encore. Remplacez Default par le nom réel de votre dossier de profil (vérifiez aussi Profile 1, Profile 2, …).

macOS

Sous ~/Library/Application Support/Google/Chrome/ (et l'équivalent Edge sous Microsoft Edge) :

• Default/Extensions/idgpnmonknjnojddfkpgkljpfnnfcklj
• Default/Local Extension Settings/idgpnmonknjnojddfkpgkljpfnnfcklj
• Default/Sync Extension Settings/idgpnmonknjnojddfkpgkljpfnnfcklj
• Default/IndexedDB/chrome-extension_idgpnmonknjnojddfkpgkljpfnnfcklj_0.indexeddb.leveldb

Windows

Sous %LOCALAPPDATA%\Google\Chrome\User Data\ (Edge : %LOCALAPPDATA%\Microsoft\Edge\User Data\) :

• Default\Extensions\idgpnmonknjnojddfkpgkljpfnnfcklj
• Default\Local Extension Settings\idgpnmonknjnojddfkpgkljpfnnfcklj
• Default\Sync Extension Settings\idgpnmonknjnojddfkpgkljpfnnfcklj
• Default\Managed Extension Settings\idgpnmonknjnojddfkpgkljpfnnfcklj
• Default\IndexedDB\chrome-extension_idgpnmonknjnojddfkpgkljpfnnfcklj_0.indexeddb.leveldb

Quittez complètement le navigateur avant de supprimer ces dossiers, sinon les fichiers risquent d'être verrouillés.

💡 Astuce : confiez le ratissage à un agent de codage. Si vous utilisez un agent comme Claude Code ou Codex, collez-lui l'URL de ce guide (ou la liste de dossiers ci-dessus) et demandez-lui de localiser puis supprimer les dossiers résiduels de ModHeader dans tous vos profils de navigateur — particulièrement utile quand vous avez plusieurs profils et craignez d'en oublier un. Deux précautions : quittez d'abord complètement le navigateur, et exigez que l'agent liste ce qu'il a trouvé et attende votre confirmation avant de supprimer quoi que ce soit.

Étape 4 — Bloquer le domaine d'exfiltration

Bloquez le collecteur et journalisez les tentatives, pour qu'aucune donnée ne puisse sortir, même depuis une copie en cache oubliée :

• Particuliers : ajoutez la ligne 0.0.0.0 api.stanfordstudies.com à votre fichier hosts (/etc/hosts sur macOS/Linux, C:\Windows\System32\drivers\etc\hosts sur Windows), ou bloquez le domaine dans votre résolveur DNS / Pi-hole.
• Équipes : ajoutez api.stanfordstudies.com (ainsi que le domaine parent stanfordstudies.com) à votre liste de blocage DNS / pare-feu sortant, et recherchez dans les journaux proxy et DNS tout POST /app/log historique vers cet hôte.

Étape 5 — Renouveler tout ce que vous lui avez confié de sensible

Puisque l'extension pouvait lire et stocker les en-têtes qui transitaient par votre navigateur, considérez comme potentiellement exposé tout ce que vous y colliez régulièrement, et régénérez-le :

• Les tokens Authorization / Bearer et clés API utilisés dans vos configs d'en-têtes.
• Les cookies de session définis via des en-têtes pour vos tests.
• Les noms d'hôtes internes ou identifiants de préproduction présents dans vos jeux d'en-têtes.

C'est une précaution, vu l'état dormant rapporté — mais renouveler un token coûte bien moins cher que de parier que tout va bien.

Indicateurs de compromission (pour les équipes sécurité / IT)

Recherchez les indicateurs suivants sur les postes gérés. Les plus solidement corroborés sont l'ID de l'extension, la version, l'endpoint d'exfiltration et le nom de fichier déguisé ; les entrées marquées (selon le rapport) proviennent de l'article de rétro-ingénierie d'origine et sont incluses par souci d'exhaustivité.

Comportement rapporté : collecte des domaines uniquement (ni URL complètes, ni valeurs de cookies, ni mots de passe), chiffrement AES-GCM, un envoi groupé par jour selon un planning aléatoire propre à chaque appareil, pas d'exécution de code distant ni de chargement de scripts externes.

S'il vous faut un éditeur d'en-têtes pour le remplacer

Vous aurez toujours besoin de modifier des en-têtes pour vos tests — la vraie question est donc : à qui faire confiance maintenant ? La checklist qui compte : un périmètre fonctionnel restreint et ciblé ; du Manifest V3 natif ; ni pub, ni analytics ; des permissions qu'on peut réellement évaluer ; et un partage qui ne fait pas transiter vos configs par le serveur de quelqu'un d'autre.

VibeHeader a été construit selon ce cahier des charges : sans pub, sans tracking, avec un partage par lien qui encode la config dans le fragment d'URL (#c=) : elle est traitée dans votre navigateur et rien n'est envoyé à un serveur. L'extension est aussi en cours d'open-sourcing — vous n'aurez pas à nous croire sur parole. Pour l'histoire complète et les autres options maintenues, voyez le récit du fondateur (en anglais) et le comparatif des alternatives à ModHeader (en anglais).

Aucune pression — le but de cette page est de vous aider à nettoyer en toute sécurité, quel que soit votre choix ensuite.