J'ai lu le code source de Honey

Le vidéaste présente son intention d'analyser le code source de l'extension Chrome Honey pour vérifier les accusations de vol de commissions d'affiliation. Il explique qu'en tant qu'extension Chrome, tout le code est accessible et qu'il peut examiner l'évolution historique pour déterminer si les comportements problématiques ont été intentionnellement améliorés. Avant de plonger dans l'analyse technique, il montre un extrait de trois minutes d'une vidéo de MegaLag révélant comment Honey se comporte différemment selon que l'utilisateur a ou non accumulé des points de cashback. Cette introduction établit le contexte du scandale : Honey vole des commissions aux influenceurs en contournant sélectivement les politiques de retrait des réseaux d'affiliation, et le code va révéler si c'était intentionnel ou accidentel.

L'extrait vidéo de MegaLag démontre concrètement le comportement frauduleux de Honey avec Newegg. Lorsqu'un utilisateur visite Newegg sans lien d'affiliation, Honey apparaît immédiatement avec une offre de cashback. Cependant, lorsqu'on utilise un lien d'affiliation, Honey se désactive correctement selon la politique de retrait. L'expérience cruciale utilise deux navigateurs Chrome avec des comptes Honey différents : un compte sans points de cashback se retire correctement, mais un compte avec des points accumulés refuse de se retirer malgré le lien d'affiliation actif. Cette démonstration prouve que Honey applique sélectivement les règles de retrait en fonction du statut de l'utilisateur, permettant de voler les commissions des affiliés tout en évitant de perdre les utilisateurs qui ont déjà investi dans leur système de points.

Le vidéaste explique sa méthodologie d'analyse en ayant collecté plusieurs versions de l'extension Honey, de février 2019 (version 11) jusqu'à aujourd'hui (version 1901). Son objectif principal est de déterminer si la logique de vérification des points utilisateur existe réellement dans le code et surtout si elle a évolué au fil du temps. Il souligne l'importance de distinguer entre un code ancien oublié depuis des années (ce qui arrive dans les grandes entreprises) et des modifications intentionnelles démontrant une maintenance active. Cette approche historique permet de prouver l'intention derrière le comportement plutôt que de simplement constater son existence. L'utilisation de l'IA lui permet de parcourir le code minifié beaucoup plus rapidement qu'il ne l'aurait pu auparavant.

La version 11 de Honey (2019) contenait déjà la logique de désactivation SSD avec plusieurs champs clés : UP (points utilisateur), ADB (bloqueur de pub dernière utilisation), et statut de connexion du compte. Le code utilisait une énorme instruction switch avec des cas codés en dur pour différents scénarios, incluant une vérification explicite et suspecte pour désactiver tout compte email contenant le mot 'test' afin d'empêcher les testeurs de liens d'affiliation de détecter le comportement frauduleux. La logique fonctionnait en vérifiant le fournisseur actif (comme LinkShare 'LS'), appliquant des règles spécifiques à ce fournisseur, puis parcourant ces règles dans une boucle for pour déterminer si la désactivation devait avoir lieu. Cette approche primitive avec des conditions codées en dur comme 'si LinkShare, fais cette action' était typique d'un début de projet anticipant seulement quelques fournisseurs.

Entre les versions 11 et 14 (couvrant la période 2019-2022), le code est resté relativement constant avec seulement quelques petites modifications sans importance majeure. Cette période de trois ans sans changements significatifs aurait pu suggérer que le code était simplement oublié et laissé en maintenance minimale. Cependant, cette stabilité contraste fortement avec ce qui va suivre. Le vidéaste note que les règles de désactivation n'étaient pas très longues temporellement, renvoyant les spectateurs vers la vidéo de MegaLag pour les détails sur les politiques de retrait inadéquates. Cette période de stagnation devient importante rétrospectivement car elle démontre que l'entreprise a ensuite fait le choix délibéré d'investir massivement dans l'amélioration du système plutôt que de simplement le laisser mourir.

À partir de la version 16 en 2024, Honey a effectué une refonte architecturale majeure remplaçant les instructions if codées en dur par un système piloté dynamiquement via un endpoint JSON. Le nouveau système utilise une classe de base définissant des comportements par défaut (65 000 points requis pour les utilisateurs non connectés), puis applique des modifications en cascade basées sur le réseau d'affiliation (réduisant à 5 001 points pour LinkShare) et même des règles spécifiques par boutique via la section 'X'. Cette approche d'ingénierie logicielle sophistiquée permet de prendre des décisions dynamiques sans modifier le code, utilisant un pattern de mutation d'objet où la configuration de base est progressivement enrichie selon le contexte (fournisseur, boutique, statut utilisateur). Le vidéaste reconnaît que c'est objectivement une meilleure ingénierie que l'approche précédente, mais souligne que cette sophistication prouve une intention délibérée d'améliorer et maintenir un système considéré comme frauduleux.

Le vidéaste découvre avec surprise un composant appelé VIM (Virtual Instance Manager) qui s'avère être un moteur JavaScript complet tournant à l'intérieur de l'extension Honey. Ce système utilise Acorn, un analyseur JavaScript produisant un AST (Abstract Syntax Tree), pour évaluer du JavaScript et l'injecter dans ce moteur virtuel. Le code fait référence à des objets comme 'cart ops retrieval JS' et 'product ops retrieval JS' contenant parfois du code JavaScript réel sous forme de chaînes. Bien que le vidéaste ait tenté de définir des points d'arrêt pour observer l'exécution, il n'a jamais réussi à déclencher ce code, mais l'infrastructure est clairement présente. Cette découverte est particulièrement troublante car elle suggère que Honey a construit la capacité d'exécuter du code distant de manière hautement obscurcie, même si cette capacité n'est pas actuellement utilisée activement.

Le code de Honey contient de nombreuses fonctions stockées sous forme de chaînes de caractères et livrées directement avec le produit plutôt que récupérées à distance, contournant techniquement les exigences du Manifest V3 de Chrome qui interdisent l'utilisation de JavaScript eval. Les exigences de Chrome stipulent spécifiquement qu'on ne devrait pas construire un interpréteur pour exécuter des commandes complexes récupérées depuis une source distante, mais Honey contourne cela en incluant ces chaînes directement dans l'extension. Le vidéaste qualifie cette approche d'obscurcissement délibéré, suggérant que le moteur JavaScript-dans-JavaScript sert à cacher certaines opérations d'autres extensions. Une théorie mentionnée est que cela permet d'éviter la détection par les bloqueurs de publicités qui pourraient bloquer Honey s'il exécutait directement certaines fonctions, mais l'interpréteur bizarre permet d'exécuter du code sans être détecté.

Le vidéaste conclut que les règles dynamiques de désactivation sont extrêmement robustes et conçues pour être contrôlées via JSON par magasin, par fournisseur et par utilisateur, démontrant une intention claire de maintenir ce comportement quel que soit son caractère frauduleux. Il qualifie cette architecture de la machine la plus complexe et bizarre de type Rube Goldberg qu'il ait jamais vue, surpassant même des bases de code de plus de 10 000 lignes de machines à états difficiles avec lesquelles il a travaillé. Les modifications apportées au fil du temps ne sont pas de simples corrections de bugs mais des améliorations architecturales significatives visant à rendre le système plus robuste et meilleur. Il remercie MegaLag pour son aide et encourage les spectateurs à regarder les vidéos originales détaillant le scandale, tout en demandant des retours sur ce nouveau format d'analyse de code en reverse engineering.

La vidéo se termine par une publicité humoristique pour Terminal.shop, un service de café commandable via SSH dans le terminal plutôt que par HTTP. Le vidéaste présente de manière exagérée et comique les avantages d'un abonnement café avec des mélanges exclusifs et du contenu exclusif, en plaisantant que si quelqu'un ne connaît pas le SSH, le café n'est peut-être pas pour lui. Cette transition légère contraste avec le contenu technique sérieux précédent, offrant une pause humoristique après l'analyse approfondie du code de Honey. Le segment se termine par une chanson jingle sur le café Terminal, marquant clairement la fin du contenu principal et servant de transition vers la sponsorisation.