Des pirates informatiques ont obtenu l'accès au compte d'un développeur qui maintient l'ensemble d'outils logiciels populaire keyv — utilisé par des millions de programmeurs dans le monde entier. Grâce à cet accès, les malfaiteurs ont intégré un virus dans les nouvelles versions des outils, comme l'ont rapporté les experts en cybersécurité d'Aikido Security. L'attaque a commencé le 4 août 2026 et est devenue l'une des plus importantes de ces dernières années — des centaines de paquets logiciels, utilisés plus de 2 milliards de fois par mois, ont été mis en danger.
Comment les ordinateurs étaient infectés
Tous les programmeurs utilisent des dépôts spéciaux de morceaux de code prêts à l'emploi — une sorte de bibliothèques d'où l'on peut télécharger une solution toute faite au lieu de l'écrire à partir de zéro. Pour JavaScript, ce dépôt s'appelle npm, et la commande de téléchargement est npm install.
Les pirates ont caché dans la mise à jour de la bibliothèque une ligne de code qui lançait automatiquement le téléchargement du virus — immédiatement après que le programmeur saisissait la commande habituelle d'installation. Aucune action suspecte n'était nécessaire : l'infection se produisait d'elle-même, dans le cadre du travail de routine.
Ce que le virus recherchait sur les ordinateurs infectés
Une fois sur un ordinateur, le programme malveillant commençait à rechercher tout ce qui avait de la valeur :
- les mots de passe et codes d'accès au dépôt de logiciels (npm)
- les codes d'accès aux comptes sur GitHub — le service de stockage de code source
- les identifiants de connexion aux services cloud d'Amazon (AWS)
- les clés secrètes de l'infrastructure serveur des entreprises
- les clés d'accès distant aux serveurs (SSH)
- les fichiers contenant des mots de passe enregistrés (programme KeePass)
- les paramètres des programmes populaires pour écrire du code, dont Claude, VS Code et d'autres
- les fichiers de portefeuilles crypto — y compris les portefeuilles pour Solana et Monero
- les phrases de récupération (seed phrases) et les clés privées
Tout ce qui était trouvé, le virus le chiffrait et l'envoyait aux pirates : une partie des données était téléchargée dans des dépôts publics sur GitHub au nom évocateur « Shai-Hulud : de retour », une autre partie — sur un serveur spécial dont l'adresse était obtenue via un contrat intelligent sur le réseau Ethereum, ce qui le rendait plus difficile à bloquer.
Le virus se multipliait tout seul
Le plus dangereux — le virus ne s'arrêtait pas à une seule bibliothèque. En utilisant les mots de passe volés, il infectait de lui-même d'autres outils populaires : il publiait au nom des vrais développeurs de nouvelles « mises à jour », auxquelles il ajoutait la même ligne de code malveillante, puis les rendait publiques. Simultanément, le virus se cachait plus profondément dans le système, pour qu'il soit plus difficile à éliminer complètement.
Combien de programmes sont déjà infectés
Selon les données d'Aikido Security au 5 août 2026, au moins 444 paquets logiciels (1 381 versions) sont infectés. Dans le rapport de la société Orca Security, le chiffre avoisine les 868 paquets. Parmi eux — plusieurs outils utilisés par des dizaines de milliers d'autres développeurs à travers le monde pour accélérer et simplifier l'écriture de code.
Pourquoi c'est particulièrement dangereux pour l'industrie de la crypto
Si le virus atteint l'ordinateur d'un développeur qui travaille sur un projet crypto, les conséquences peuvent être bien plus graves qu'une simple fuite de mots de passe. Via un ordinateur infecté, les pirates obtiennent l'accès aux phrases secrètes des portefeuilles, aux clés des plateformes d'échange, aux comptes GitHub et aux serveurs de l'entreprise, comme l'explique Orca Security. Ensuite — ce n'est plus qu'une question de technique : accès au code du projet, accès aux serveurs, puis piratage à part entière. C'est précisément ainsi qu'ont débuté de nombreux vols importants de cryptomonnaies ces dernières années.
Cette histoire montre qu'on peut être infecté même par les actions les plus banales — la simple installation d'un outil nécessaire pour travailler. Pour les équipes qui travaillent sur les cryptomonnaies et les portefeuilles, c'est une raison supplémentaire de vérifier attentivement les programmes qu'elles utilisent et de les mettre à jour rapidement une fois le problème résolu.
L'avis de l'IA
D'un point de vue d'analyse de données automatisée, l'incident actuel n'est pas un cas isolé, mais la troisième vague d'une même campagne : le ver Shai-Hulud a été identifié pour la première fois en septembre 2025, suivi d'une deuxième vague en novembre, « Shai-Hulud 2.0 », qui a touché plus de 25 000 dépôts. Une telle régularité en moins d'un an indique un problème systémique de confiance au sein de l'écosystème npm, et non une erreur ponctuelle d'un seul développeur.
end-content
