Pourquoi mon pirate de navigateur revient après suppression ?

Le pirate visible (page d'accueil modifiée, extension malveillante) n'est que le symptôme. L'infection réelle est un mécanisme de persistance — généralement une tâche planifiée Windows ou une entrée de démarrage qui surveille la suppression et réinstalle tout automatiquement. Vérifiez le Planificateur de tâches pour des tâches suspectes comme 'ChromeUpdate' ou 'BrowserMaintenance' qui exécutent des scripts PowerShell ou des exécutables depuis des dossiers AppData. Supprimez ces tâches pour arrêter le cycle.

Que signifie 'Votre navigateur est géré par votre organisation' sur un ordinateur personnel ?

Ça signifie qu'un malware a injecté une stratégie d'entreprise Chrome dans votre registre Windows qui verrouille vos paramètres de moteur de recherche et de page d'accueil. Vous ne pouvez pas corriger ça depuis Chrome — vous devez ouvrir l'Éditeur du registre (regedit) et supprimer les entrées à HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome et HKEY_CURRENT_USER\SOFTWARE\Policies\Google\Chrome. Redémarrez Chrome ensuite.

Comment supprimer un pirate de navigateur quand je ne peux pas désinstaller l'extension ?

Si le bouton Supprimer est grisé sur une extension Chrome, une stratégie Chrome force son installation. Supprimez d'abord la stratégie du registre Windows (voir la section 'Géré par votre organisation'), puis redémarrez Chrome. Le bouton Supprimer de l'extension redeviendra cliquable. Si ça ne marche toujours pas, essayez l'option Réinitialiser les paramètres de Chrome pour désactiver toutes les extensions d'un coup.

Un pirate de navigateur peut-il voler mes mots de passe ?

Oui. Les extensions pirates avec des permissions étendues peuvent lire tout ce que vous tapez dans les formulaires web, y compris les mots de passe et numéros de carte bancaire. Certaines interceptent les requêtes de recherche et vous redirigent vers des sites de phishing. Après avoir supprimé un pirate, changez les mots de passe de tous les comptes auxquels vous vous êtes connecté pendant que le pirate était actif — surtout banque, email et réseaux sociaux.

Quels sont les pirates de navigateur les plus courants en 2026 ?

Les noms que nous voyons le plus chez RebootDoctor en ce moment sont Bangsearch.pro, Yglsearch, ActiveSearchBar, Qltuh, CelestialQuasaror et MegaGuard. De nouvelles variantes apparaissent toutes les quelques semaines parce que l'infrastructure est facile à cloner. Le pirate basé sur les stratégies 'Géré par votre organisation' est le type le plus persistant — il survit aux réinstallations du navigateur et à l'effacement des données de navigation.

Supprimer un Pirate de Navigateur (Windows 11)

Ouvrez chrome://policy dans votre barre d’adresse. Si vous voyez des entrées comme DefaultSearchProviderEnabled, HomepageLocation, ou ExtensionInstallForcelist — ce ne sont pas vos paramètres. Un pirate de navigateur a injecté des stratégies d’entreprise Chrome dans votre registre Windows, et c’est pourquoi changer votre page d’accueil ou moteur de recherche ne sert à rien. Les paramètres sont grisés parce que le pirate utilise les propres fonctionnalités de gestion de Chrome contre vous. Vous pouvez réinstaller Chrome, effacer toutes les données de navigation, même réinitialiser le navigateur — le pirate survit à tout ça parce que la stratégie vit dans le registre, pas dans le dossier de données de Chrome.

Les noms qu’on nettoie le plus souvent en ce moment sont Bangsearch.pro, Yglsearch, ActiveSearchBar, Qltuh, CelestialQuasaror et MegaGuard. De nouvelles variantes apparaissent toutes les deux semaines parce que l’infrastructure est facile à cloner. L’Internet Observatory de Stanford a rapporté plus de 280 millions de téléchargements d’extensions de navigateur malveillantes en 2025, et un seul incident en juillet a compromis 2,3 millions d’utilisateurs Chrome et Edge. Ce ne sont que celles basées sur les extensions — ça ne compte pas celles livrées avec les installateurs de logiciels gratuits.

Tuer la stratégie d’abord

C’est l’étape que la plupart des guides en ligne sautent ou enterrent en bas de page. Ouvrez l’Éditeur du registre — Win+R, tapez regedit, Entrée. Naviguez vers ces emplacements et supprimez le dossier Chrome sous chacun :

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome — supprimez tout le dossier Chrome si vous n’êtes pas sur un ordinateur de travail géré.

HKEY_CURRENT_USER\SOFTWARE\Policies\Google\Chrome — même chose.

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Update — certains pirates définissent des stratégies de mise à jour ici pour empêcher Chrome de se mettre à jour automatiquement, ce qui autrement supprimerait le pirate quand Google met à jour sa liste de blocage d’extensions malveillantes.

Pour Edge : HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Edge et l’équivalent HKCU.

Redémarrez Chrome. La bannière « Votre navigateur est géré par votre organisation » devrait disparaître et vos paramètres de page d’accueil et moteur de recherche redeviennent modifiables. Si la bannière revient après un redémarrage, vous avez un mécanisme de persistance qui réinstalle la stratégie — continuez la lecture.

Extensions et Planificateur de tâches

Allez sur chrome://extensions, activez le Mode développeur (interrupteur en haut à droite), et supprimez tout ce que vous n’avez pas délibérément installé depuis le Chrome Web Store. Ne vous contentez pas de désactiver — cliquez Supprimer. Les extensions pirates désactivées peuvent se réactiver via des tâches planifiées. Tout ce qui contient « PDF », « Helper », « Safe Search », « Web Protection » ou « Enhanced Search » dans le nom et que vous ne reconnaissez pas est suspect. Stanford a trouvé que les extensions pirates survivent sur le Web Store en moyenne 380 jours avant détection, donc elle pouvait sembler légitime quand vous l’avez installée il y a des mois.

Si le bouton Supprimer d’une extension est grisé, vous n’avez pas terminé le nettoyage du registre ci-dessus — la stratégie force son installation. Retournez vous assurer que vous avez bien supprimé ces clés de registre.

Maintenant ouvrez le Planificateur de tâches — Win+R, taskschd.msc. C’est là que la plupart des tentatives de suppression DIY échouent et pourquoi le pirate revient après que les gens pensent l’avoir nettoyé. Les tâches pirates utilisent des noms conçus pour paraître inoffensifs : « ChromeUpdate », « BrowserMaintenance », « SystemHealthCheck », parfois des chaînes aléatoires. Cliquez sur chaque entrée suspecte et vérifiez l’onglet Actions. Si l’action exécute un script PowerShell, un fichier .bat depuis un répertoire Temp, ou un .exe depuis un dossier AppData, c’est votre mécanisme de persistance. J’en ai vu un appelé « MicrosoftEdgeUpdateTask » — suffisamment proche d’une vraie tâche Edge pour que la plupart des gens passent à côté. Supprimez-le. Vérifiez aussi l’onglet Démarrage du Gestionnaire des tâches — les entrées sans éditeur ou pointant vers des exécutables dans AppData\Local\Temp ne sont presque jamais légitimes.

Un dernier endroit caché que personne ne vérifie : C:\Windows\System32\drivers\etc\hosts. Ouvrez-le avec le Bloc-notes en tant qu’admin. Un fichier hosts propre est surtout des commentaires (lignes commençant par #). Si vous voyez google.com, bing.com, ou un domaine légitime mappé vers des adresses IP aléatoires, c’est du piratage de fichier hosts — le plus vieux truc du monde et toujours efficace parce que personne ne regarde là.

Réinitialiser et scanner

Une fois la persistance éliminée, réinitialisez le navigateur. Chrome : Paramètres, Réinitialiser les paramètres, « Restaurer les paramètres par défaut ». Firefox : tapez about:support, cliquez « Réparer Firefox » — c’est plus agressif, ça crée un nouveau profil entièrement, ce qui est exactement ce que vous voulez. Les favoris et mots de passe enregistrés survivent aux deux.

Lancez une analyse complète Windows Defender — Paramètres, Confidentialité et sécurité, Sécurité Windows, Protection contre les virus et menaces, Analyse complète. Puis Malwarebytes Free pour un second avis — il attrape les PUP que les paramètres par défaut de Defender ignorent parfois. Notre guide complet de suppression de malware couvre la technique d’analyse en Mode sans échec pour les infections plus profondes.

Vérifiez aussi vos paramètres DNS. Certains pirates ne touchent pas du tout le navigateur — ils changent votre DNS pour que tout le trafic web soit rerouté via leurs serveurs. Invite de commandes, ipconfig /all, regardez la ligne Serveurs DNS pour votre adaptateur actif. Ça devrait être l’IP de votre routeur, votre FAI, ou un DNS public que vous avez défini vous-même. Des adresses inconnues que vous n’avez jamais configurées ? Changez-les en 8.8.8.8 et 1.1.1.1. Notre guide DNS couvre le diagnostic complet si vous suspectez une manipulation au niveau DNS. Connectez-vous aussi à votre routeur (192.168.1.1 ou 192.168.0.1) et vérifiez le DNS là — certains malwares qui accèdent au routeur changent le DNS au niveau du routeur, affectant chaque appareil sur le réseau.

Après avoir supprimé un pirate, changez les mots de passe de tous les comptes auxquels vous vous êtes connecté pendant qu’il était actif. Les extensions pirates avec des permissions étendues peuvent lire tout ce que vous tapez dans les formulaires web. Installez uBlock Origin pour bloquer les chaînes de malvertising qui livrent les pirates en premier lieu. Pour les téléchargements de logiciels, utilisez les sites officiels ou Ninite.com, et lisez chaque écran pendant les assistants d’installation — décochez « Installer l’extension de navigateur recommandée » et « Définir comme moteur de recherche par défaut », qui sont cochés par défaut. Si le pirate continue de revenir après tout ça, nous pouvons trouver le mécanisme de persistance à distance — la session moyenne dure environ 20 minutes parce qu’on sait exactement où chercher.