Le malware Vidar dissimulé dans des paquets npm malveillants
Une nouvelle campagne malveillante met en lumière les risques liés à la chaîne d’approvisionnement logicielle. Le malware Vidar a été обнаружé dans plusieurs paquets npm malveillants, visant les développeurs et les environnements de production.
Une attaque via l’écosystème open source
La plateforme npm, utilisée pour la gestion de dépendances JavaScript, constitue un pilier de nombreux projets web et applicatifs. Les attaquants ont publié des paquets piégés imitant des bibliothèques légitimes.
Une fois installés, ces modules téléchargeaient et exécutaient Vidar, un infostealer spécialisé dans le vol de :
- Identifiants enregistrés dans les navigateurs
- Cookies de session
- Portefeuilles de cryptomonnaies
- Données système sensibles
Cette méthode permet d’infecter indirectement des développeurs ou des serveurs via un simple npm install.
Vidar : un malware polyvalent
Vidar est un malware bien connu dans l’écosystème cybercriminel. Distribué sur des forums clandestins, il est régulièrement utilisé pour :
- L’exfiltration de données
- La revente d’identifiants sur des places de marché illicites
- La préparation d’attaques plus larges (intrusions, ransomwares)
Sa modularité et sa facilité de déploiement en font un outil particulièrement attractif pour les attaquants.
Les risques pour les entreprises
Cette affaire illustre les vulnérabilités inhérentes aux environnements modernes de développement :
- Dépendance massive aux bibliothèques open source
- Difficulté à contrôler l’intégrité des dépendances
- Risques liés aux attaques supply chain
Un simple composant compromis peut devenir un point d’entrée stratégique dans un système d’information.
Conclusion
L’intégration de Vidar dans des paquets npm malveillants démontre que la menace ne cible plus uniquement les infrastructures, mais aussi les outils de développement.
La sécurisation des projets passe désormais par une analyse rigoureuse des dépendances, l’utilisation d’outils de scan de vulnérabilités et une sensibilisation accrue des équipes techniques. Dans un contexte où la chaîne d’approvisionnement logicielle est devenue une cible privilégiée, la cybersécurité doit être intégrée dès la phase de développement.
Auteur : Louise Costa
Date : 12 novembre 2025
