Les logiciels malveillants open source ont fortement progressé de 140 % d’un trimestre sur l’autre cette année.
Sonatype, une entreprise de DevSecOps axée sur l’IA, a publié l’Open Source Malware Index pour le T3 2025, révélant un total de 34 319 nouveaux packages malveillants open source identifiés sur les principaux registres tels que npm, PyPI et Hugging Face. Ces résultats portent le total cumulé de Sonatype à 877 522 packages malveillants découverts depuis 2019.
« L’ère des logiciels malveillants bruyants et opportunistes est révolue. Les attaquants sont patients, organisés et utilisent de plus en plus l’IA pour s’intégrer aux outils mêmes sur lesquels les développeurs comptent », a déclaré Brian Fox, CTO et Co-founder de Sonatype. « Ils dissimulent des charges malveillantes au vu de tous, transformant des dépendances open source de confiance en mécanismes de diffusion pour voler des données et maintenir leur présence. Les défenseurs doivent répondre à ce niveau de sophistication par une visibilité pilotée par l’IA et des contrôles proactifs capables de stopper les menaces avant même qu’elles n’atteignent l’environnement d’un développeur. »
Shai-Hulud à son apogée
Selon l’Index, une nouvelle vague d’attaques de la chaîne d’approvisionnement visant npm a témoigné de la sophistication croissante des cybermenaces. La campagne de détournement des packages chalk et debug, qui a touché des composants totalisant plus de deux milliards de téléchargements hebdomadaires, a montré comment des projets légitimes pouvaient être exploités pour diffuser des logiciels malveillants à grande échelle. La campagne Shai-Hulud, quant à elle, a affiché un comportement d’auto-propagation, exfiltrant des identifiants et publiant de nouveaux packages compromis dans différents dépôts.
Le vol de données s’est imposé comme une cible prioritaire au T3 : 35 % des packages malveillants détectés étaient axés sur l’exfiltration. Cette tendance témoigne d’un virage vers l’espionnage et la monétisation, les attaquants cherchant de plus en plus à obtenir les identifiants, les jetons et les informations propriétaires des développeurs.
Les recherches de Sonatype ont également mis en évidence une progression des logiciels malveillants furtifs et opérant en plusieurs étapes. Les droppers représentaient 38 % des menaces ce trimestre, tandis que les packages contenant des portes dérobées ont progressé de 143 % par rapport au T2, ce qui suggère que les adversaires perfectionnent leurs méthodes afin de conserver un accès persistant et clandestin par l’intermédiaire de dépendances apparemment inoffensives.
Déclin et chute
À l’inverse, les logiciels malveillants nécessitant peu d’efforts, comme les cryptomineurs, sont en recul et ne représentaient que 4 % des menaces au T3, contre 6 % au trimestre précédent. Ces données montrent que les attaquants délaissent les exploits simples et très bruyants au profit d’opérations plus furtives et plus rentables.
La division Security Research de Sonatype, qui assure le suivi des logiciels malveillants open source, indique qu’elle s’appuie sur Repository Firewall. Cette solution est conçue pour bloquer les composants open source et les modèles d’IA malveillants avant qu’ils n’atteignent les développeurs. Au seul T3, Repository Firewall a aidé ses clients à empêcher 110 370 attaques de logiciels malveillants, dont près de la moitié visaient des organisations de services financiers.
Anthropic a publié une étude retentissantemontrant que les pirates ont besoin de bien moins de documents d’entraînement empoisonnés que prévu pour installer une porte dérobée dans des modèles de langage.