Les logiciels malveillants open source se concentrent sur les environnements de développement - Help Net Security

L’activité des logiciels malveillants open source en 2025 s’est concentrée sur un seul objectif : exécuter du code dans les environnements de développement, selon Sonatype.

L’accent reflétait un changement plus large dans les attaques de la chaîne d’approvisionnement, passant des utilisateurs finaux aux outils, machines et pipelines utilisés en premier lieu pour créer des logiciels.

Points clés à retenir (Source : Sonatype)

Campagnes de logiciels malveillants mises à l'échelle via les registres

Les chercheurs ont identifié plus de 450 000 nouveaux composants open source malveillants au cours de l’année. Les attaquants ont publié de grands lots de packages partageant des modèles de dénomination et du code interne, puis les ont rapidement remplacés après leur suppression.

La plupart des versions malveillantes sont apparues dans npm, où son rôle central dans le développement frontal et les pipelines CI a permis une distribution à grande échelle. La publication suivait des cycles courts et automatisés, les packages réapparaissant peu de temps après leur retrait.

Certaines campagnes se propagent sans republication manuelle. Une opération observée en septembre s'est propagée latéralement sur les machines des développeurs et les projets liés, compromettant des centaines de composants en aval en quelques jours. Une autre campagne a gén...
[Courte citation de 8% de l'article original]