File System Access API : ce qu'une seule autorisation accorde
Démonstration pédagogique, strictement en lecture seule.
Cette page énumère et lit les métadonnées d'un dossier que vous choisissez,
puis affiche l'arborescence. Elle n'écrit rien, ne chiffre rien, n'envoie rien sur le réseau
(ouvrez l'onglet réseau des devtools pour le vérifier). Choisissez un
dossier de test jetable, pas vos vrais documents.
Le composant côté victime du malware analysé repose sur l'appel Chromium légitime
showDirectoryPicker(). L'intérêt de cette démo est de rendre concret un seul point,
celui qui fait tout le danger : après un unique clic « Autoriser » sur un dossier, la page
obtient un accès récursif à tout ce qu'il contient, sous-dossiers compris, sans nouvelle
invite. La version malveillante enchaîne ensuite lecture, exfiltration puis réécriture chiffrée
in-place ; ici on s'arrête à l'énumération pour montrer la primitive sans la reproduire.
Pourquoi c'est le point clé
La permission est accordée au dossier entier, pas fichier par fichier. Le parcours
récursif ci-dessus ne redéclenche aucune invite.
Aucun binaire natif, aucune faille : c'est une capacité documentée et voulue de la plateforme,
détournée par l'ingénierie sociale du leurre (« upscaler d'avatar »).
Défense côté utilisateur : ne jamais accorder l'accès dossier à une page dont ce n'est pas la fonction
évidente et attendue ; préférer un sous-dossier vide en cas de doute. Défense plateforme : les invites
Chromium affichent le nom du dossier et exigent un geste explicite, d'où l'importance de le lire.