Ces dernières années, les mods pour Minecraft sont passés d'un phénomène ponctuel à une pratique courante pour des millions de joueurs. Ils permettent de modifier l'esthétique du jeu, d'ajouter des objets, de créer des cartes exceptionnelles, voire d'intégrer des systèmes de jeu complets. Mais parallèlement à cette créativité, un phénomène bien moins réjouissant s'est développé : l'utilisation des mods pour voler des données, installer des logiciels malveillants et espionner les joueurs.
Même si vous pensez parfois : « Je suis un utilisateur lambda, je n’ai rien à cacher », la réalité est que votre ordinateur stocke des mots de passe, des sessions Discord, des données de navigation, d’éventuels portefeuilles de cryptomonnaies et des fichiers personnels qui représentent une ressource précieuse pour un cybercriminel. Par conséquent, si vous utilisez des mods, il est devenu quasiment indispensable de comprendre comment ils sont utilisés pour diffuser des logiciels malveillants, quels sont les risques réels et comment minimiser les dégâts.
Qu'est-ce qu'un mod Minecraft exactement et pourquoi représente-t-il un risque ?
Un mod Minecraft est essentiellement un fichier qui modifie le comportement du jeu . Il se présente généralement au format .jar (puisqu'il est basé sur Java) ou est compressé en .zip ou .rar, et peut faire pratiquement tout : de l'ajout de blocs décoratifs à la modification de la génération du monde, en passant par l'introduction de nouvelles créatures ou la mise en œuvre de systèmes de sécurité avancés au sein même du jeu.
Ces mods ne font pas partie du contenu officiel de Mojang ou de Microsoft ; ils sont créés par des joueurs, des fans ou de petites équipes de développeurs indépendants . Cela présente un avantage considérable (une variété quasi infinie et une grande capacité d'innovation), mais aussi un inconvénient majeur : ils ne font l'objet d'aucun audit ni contrôle de sécurité avant d'être installés sur votre ordinateur.
Il en résulte que, même si un mod est parfaitement légitime et propose simplement du contenu amusant, il peut aussi servir de prétexte idéal pour dissimuler un code malveillant . Un pirate n'a qu'à camoufler son logiciel malveillant sous l'apparence d'un mod très attrayant ou d'une mise à jour très attendue, puis le diffuser via des sites web, des forums, voire des vidéos YouTube avec de faux liens de téléchargement.
De nombreux mods peuvent également demander des autorisations spécifiques ou accéder aux fichiers et données système pour fonctionner. Cette capacité d'interaction avec votre environnement signifie que si une personne malveillante décide de l'exploiter, vos données personnelles et vos comptes en ligne sont beaucoup plus vulnérables.
Les forums comme Reddit regorgent de témoignages d'utilisateurs ayant vécu des expériences désagréables avec des mods qui se sont révélés malveillants , allant du vol de comptes à des infections plus graves. Il est donc clair que les mods constituent une véritable cible pour les cybercriminels.
De véritables campagnes de logiciels malveillants dissimulées dans des mods Minecraft
Il ne s'agit pas de théories ni de cas isolés. Ces dernières années, des campagnes de logiciels malveillants bien organisées ont été découvertes , exploitant la popularité de Minecraft et de ses mods pour toucher des milliers de joueurs à travers le monde.
L'un des incidents les plus connus est la campagne Fractureiser de 2023, un logiciel malveillant qui infiltrait les mods et les plugins distribués via des plateformes populaires comme CurseForge et Modrinth . L'affaire était si grave que des outils spécifiques ont été créés pour détecter les mods infectés et aider les utilisateurs à nettoyer leurs systèmes , ainsi qu'une enquête publique exhaustive hébergée sur GitHub détaillant la chronologie, les fichiers affectés et les mesures recommandées.
Plus récemment, une autre opération sophistiquée, baptisée Stargazers Ghost Network, a été identifiée et analysée en profondeur par Check Point Research. Dans ce cas précis, les attaquants ont mis en place un service de distribution de logiciels malveillants (DaaS) hébergé sur GitHub , présentant des fichiers malveillants comme des outils de modification de jeu, des scripts, des macros ou de véritables codes de triche pour Minecraft (par exemple, des noms comme Oringo ou Taunahi).
La campagne reposait sur un programme de chargement et un programme de vol de données programmés en Java , qui s'activaient spécifiquement lorsque Minecraft était détecté comme installé. Une troisième phase, développée en .NET, prenait ensuite le relais, offrant des capacités de vol de données accrues. Le cœur de la menace étant écrit en Java, de nombreux antivirus et systèmes sandbox traditionnels ne l'ont pas détectée , faute de dépendances nécessaires à son bon fonctionnement dans un environnement émulé.
Depuis mars 2025, plusieurs dépôts frauduleux sur GitHub, aux noms attrayants pour la communauté (tels que FunnyMap-0.7.5.jar, Oringo-1.8.9.jar, Polar-1.8.9.jar, SkyblockExtras-1.8.9.jar et Taunahi-V3.jar ), ont été surveillés . Présentés comme des mods ou des utilitaires, ils étaient en réalité conçus pour télécharger un programme malveillant et exécuter un voleur d'identifiants .NET. Ce dernier dérobait les identifiants de connexion sur Discord, Telegram, les clients Minecraft, les navigateurs, les portefeuilles de cryptomonnaies, etc.
Comment fonctionne la chaîne d'infection dans ces types de mods malveillants ?
Un examen plus approfondi du fonctionnement de campagnes comme Stargazers Ghost Network révèle une chaîne d'infection assez élaborée et progressive . En termes simplifiés, le processus suit généralement les étapes suivantes :
- Téléchargement initial du modLe joueur arrive sur un dépôt GitHub ou une page qui semble légitime, voit un mod attrayant (ou un prétendu cheat) et télécharge le fichier .jar.
- Exécuter dans MinecraftLorsque vous lancez le jeu avec ce mod chargé, le mod lui-même agit comme Chargeur Java, en demandant ou en téléchargeant des composants supplémentaires à l'insu de l'utilisateur.
- seconde phase malveillanteLe chargeur introduit un nouveau logiciel malveillant (par exemple, un autre fichier .jar obfusqué) qui est chargé de déployer un composant supplémentaire en .NET, doté de fonctions supplémentaires pour voler des informations et contrôler le système.
- exfiltration de donnéesToutes les informations collectées sont compressées et envoyées aux attaquants, souvent via Webhooks Discord ou des serveurs distants, en utilisant des techniques qui passent largement inaperçues.
Ces familles de logiciels malveillants intègrent généralement des techniques anti-analyse et anti-virtualisation . Avant de s'activer pleinement, le code vérifie s'il s'exécute dans une machine virtuelle, un environnement sandbox ou dans certaines conditions indiquant la présence d'un système d'analyse automatisée. S'il détecte une anomalie, il adopte un comportement apparemment inoffensif, voire reste totalement inactif , ce qui complique sa détection par les outils de sécurité.
Dans le cas précis du réseau Stargazers Ghost Network, les attaquants ont utilisé des services comme Pastebin pour obtenir dynamiquement les URL à partir desquelles les différentes étapes du logiciel malveillant étaient téléchargées. Cela leur a permis de modifier les serveurs de distribution ou les routes sans altérer le mod initial , rendant ainsi difficile le maintien de l'efficacité à long terme des signatures antivirus statiques.
Les données volées ne se limitaient pas à quelques mots de passe. Elles comprenaient des jetons et identifiants Discord et Telegram, des configurations de lanceurs pour des plateformes comme Feather, Lunar et Essential, des mots de passe et cookies de navigateurs (Chrome, Edge, Firefox), des informations de VPN, des portefeuilles de cryptomonnaies, des captures d'écran, des listes de processus actifs et même le contenu du presse-papiers . Toutes ces données ont été transformées en un butin de grande valeur, destiné à la revente ou à être utilisé lors de futures intrusions.
L'ampleur de ces campagnes démontre que, pour de nombreux groupes de cybercriminels, la communauté Minecraft représente un vaste marché de cibles faciles, avec plus de 200 millions d'utilisateurs actifs chaque mois . La moindre négligence lors du téléchargement d'un mod depuis une source non vérifiée peut rendre votre ordinateur vulnérable.
Types de logiciels malveillants pouvant se cacher dans les mods
Lorsque nous parlons de « virus dans les mods », nous faisons en réalité référence à toute une gamme de menaces différentes , qui peuvent être combinées entre elles :
- Chevaux de TroieIls se font passer pour des fichiers légitimes (par exemple, un mod populaire) mais contiennent du code permettant d'ouvrir une porte dérobée, de télécharger davantage de logiciels malveillants ou de donner à l'attaquant le contrôle à distance du système.
- SpywareIls se concentrent sur espionnage et collecte d'informations sensibles: identifiants de connexion, données financières, conversations, documents, habitudes de navigation, etc., qui sont ensuite exfiltrés vers l'attaquant.
- VoleursIl s'agit d'un type spécifique de logiciel espion conçu pour vider rapidement tout ce qu'ils peuvent Navigateurs, clients de messagerie, lanceurs de jeux, portefeuilles de cryptomonnaies, et bien plus encore.
- CryptomèresIls utilisent votre processeur ou votre carte graphique pour miner secrètement des cryptomonnaies. Ils ne volent pas toujours d'informations, mais… Elles consomment des ressources, font chauffer les équipements et les rendent beaucoup plus lents..
- RansomwareBien que cela semble moins fréquent dans le contexte de Minecraft, il est également possible qu'un mod malveillant déclenche un ransomware. Crypter vos fichiers personnels et exiger une rançon en échange de leur restitution.
Le problème, c'est que pour un utilisateur lambda, un fichier .jar au contenu légitime et un autre contenant un cheval de Troie peuvent être parfaitement identiques. C'est pourquoi il est crucial de prêter attention à l'origine du mod, à sa réputation et au comportement du système après son installation.
Comment savoir si un mod Minecraft est fiable ?
Aucune méthode n'est infaillible à 100 %, mais plusieurs filtres et bonnes pratiques peuvent être appliqués pour réduire considérablement les risques d'installer un mod malveillant.
Tout d'abord, il est essentiel de bien vérifier la source du téléchargement . Il est toujours plus judicieux de télécharger les mods depuis des plateformes reconnues et importantes au sein de la communauté plutôt que depuis des liens raccourcis, des sites web obscurs ou des dépôts peu ou pas informatifs. Même les sites populaires ne sont pas totalement sûrs, mais ils disposent généralement de davantage de contrôles, d'outils de vérification et d'une communauté réactive qui détecte rapidement les problèmes.
Un autre aspect crucial est la réputation de l'auteur ou de l'équipe de développement . Nombre de créateurs de mods sont bien connus dans le milieu, avec des projets qui existent depuis des années et une multitude d'avis positifs. En revanche, si le développeur présumé est introuvable, n'a aucun profil sur les sites de confiance et aucune référence dans la communauté, il est prudent de traiter ce fichier avec la plus grande circonspection, voire de le supprimer.
Les avis et commentaires des autres joueurs sont une mine d'or. Avant d'installer un nouveau mod, il est conseillé de rechercher son nom sur les forums, les serveurs Discord officiels, Reddit et les sites web réputés . Il est fréquent que les utilisateurs mettent en garde contre un mod en partageant des captures d'écran d'analyses antivirus, voire des analyses techniques, s'il a été utilisé pour diffuser des logiciels malveillants.
Il est également conseillé de prêter attention au type de fichier que vous téléchargez . Dans l'écosystème Minecraft Java, il s'agit généralement de fichiers .jar ou de fichiers compressés avec les extensions .zip ou .rar. Si, lors du téléchargement d'un mod supposé, vous recevez un fichier .exe, un fichier .bat ou un programme d'installation nécessitant des privilèges d'administrateur, méfiez-vous : ce n'est pas le format habituel et il pourrait s'agir d'une tentative d'installation d'un logiciel malveillant . Si vous ne savez pas comment les installer, consultez notre guide d' installation de Minecraft Forge et de téléchargement de mods.
À tout cela s'ajoute la question de savoir si un mod open source est automatiquement sûr . Le fait que le code soit public est un atout : toute personne possédant les compétences nécessaires peut l'examiner, le compiler et vérifier l'absence de failles de sécurité. Cependant, en pratique, tout le monde ne vérifie pas le code, et les versions compilées ne correspondent pas toujours au dépôt public . Par conséquent, l'open source est un bon indicateur, mais pas une garantie absolue.
Outils pour vérifier la sécurité d'un mod
Outre le bon sens et la vérification manuelle, il existe un certain nombre d'outils qui facilitent grandement la vérification de la pureté d'un fichier avant son exécution sur votre machine principale.
La mesure la plus élémentaire, mais aussi la plus essentielle, consiste à utiliser un antivirus ou un logiciel antimalware à jour . Analyser le fichier .jar ou l'archive compressée du mod immédiatement après son téléchargement permet de détecter de nombreuses familles de logiciels malveillants connues et d'empêcher leur exécution. Bien que, comme nous l'avons constaté, certaines campagnes sophistiquées parviennent à échapper à la détection, cela reste une protection très importante.
Une autre mesure fortement recommandée consiste à utiliser des machines virtuelles ou des environnements de test isolés . Vous pouvez ainsi configurer un environnement isolé (par exemple avec VirtualBox ou une solution similaire) où installer Minecraft et tester des mods sans risque pour votre système principal. En cas de problème, il vous suffit de supprimer la machine virtuelle et d'en créer une autre. Il existe également des environnements de test en ligne spécialisés (comme Any.Run ou Joe Sandbox) qui analysent le comportement des fichiers suspects, même si, dans le cas des mods Minecraft, ils ne disposent parfois pas des dépendances nécessaires à leur bon fonctionnement.
N'oubliez pas les services comme VirusTotal et autres plateformes d'analyse en ligne similaires . Ils permettent de télécharger un fichier, de coller son empreinte numérique ou même d'analyser une URL de téléchargement avant utilisation. Le fichier est ensuite analysé par des dizaines de moteurs antivirus différents, offrant ainsi une vision plus globale de sa sécurité. Cependant, le fait qu'un fichier ne soit pas signalé comme un virus par ces services ne garantit pas sa sécurité , comme l'ont démontré des campagnes basées sur Java qui sont passées inaperçues.
En cas d'incidents majeurs comme Fractureiser, certaines plateformes concernées ont même mis à disposition des outils spécifiques pour localiser les mods infectés au sein de votre installation et faciliter leur suppression. Si une telle situation se présente, il est important de suivre attentivement les annonces officielles et d'utiliser les outils qu'elles fournissent.
Quelles données certains mods peuvent-ils collecter, et le cas d'Essential ?
Une préoccupation majeure, notamment chez les utilisateurs de mods sociaux ou utilitaires, concerne le type d' informations personnelles qu'ils pourraient collecter . Les mods comme Essential, qui permettent d'inviter des amis directement dans son monde sans louer de serveur, nécessitent souvent une connexion à des services externes pour fonctionner.
Dans un scénario plausible, un mod de ce type pourrait accéder à votre nom d'utilisateur, votre adresse IP, les informations de votre session de jeu, la version de votre client et éventuellement certaines métadonnées système (comme le système d'exploitation ou certains identifiants) afin de gérer les invitations, l'authentification ou les statistiques. À plus grande échelle, ces données pourraient servir à l'analyse, à l'amélioration du service ou, dans le pire des cas, à un suivi commercial plus intrusif.
Ce qui est inhabituel, et serait certainement extrêmement grave, c'est qu'un mod agisse au niveau du noyau ou manipule des éléments critiques du système d'exploitation simplement pour prendre en charge une fonctionnalité sociale. Un mod classique, chargé depuis le client Minecraft, ne fonctionne pas comme un rootkit et ne devrait pas avoir besoin de toucher à ce genre de choses s'il est bien conçu.
Cependant, même s'il n'atteint pas techniquement le noyau, un mod malveillant peut tout de même lire des fichiers de configuration, capturer des jetons de session d'autres applications (par exemple, Discord s'il partage des chemins d'accès connus), enregistrer les frappes au clavier ou espionner votre activité pendant que vous jouez. C'est là que la frontière entre « télémétrie acceptable » et « espionnage pur et simple » devient floue.
Si la protection de votre vie privée vous préoccupe particulièrement avec un mod comme Essential, vous pouvez au moins consulter sa politique de confidentialité, sa documentation technique et les avis de la communauté . Vérifiez s'ils expliquent quelles données sont collectées, dans quel but, combien de temps elles sont conservées et si vous pouvez limiter cette collecte via les paramètres du mod ou le pare-feu de votre système.
Vous pouvez également opter pour des solutions intermédiaires : par exemple, bloquer certaines connexions sortantes du mod à l’aide d’un pare-feu avancé ou utiliser un utilisateur Windows avec moins de permissions uniquement pour jouer, réduisant ainsi l’impact des actions que le mod peut entreprendre même en cas de comportement malveillant.
Que faire si vous avez déjà installé un mod contenant un logiciel malveillant ?
Si vous soupçonnez avoir commis une erreur lors d'une modification et que votre équipement est potentiellement compromis, il est préférable d'agir au plus vite en suivant une série d'étapes ordonnées permettant de limiter les dégâts.
La première étape consiste à supprimer le mod suspect de votre installation Minecraft : supprimez le fichier .jar, les dossiers associés et toute autre trace visible. Si vous savez quels processus il exécute (par exemple, via le Gestionnaire des tâches), terminez-les également pour mettre fin à son activité.
Ensuite, effectuez une analyse complète du système avec votre antivirus ou une solution antimalware fiable . Si possible, utilisez plusieurs outils (par exemple, un antivirus installé sur le système et un scanner à la demande) afin d'élargir la protection contre différentes familles de menaces.
En cas d'infection confirmée ou si vous constatez un comportement anormal persistant, envisagez de réinstaller complètement Minecraft depuis la source officielle . Cela garantit que tous les fichiers modifiés dans le répertoire du jeu seront remplacés par une version saine et connue.
Une fois cette opération effectuée, il est fortement recommandé de modifier les mots de passe de tous les comptes que vous avez pu utiliser depuis cet appareil : comptes Microsoft/Mojang, messagerie, Discord, services de paiement, etc. Dans la mesure du possible, activez également la vérification en deux étapes (2FA) afin d’ajouter une couche de protection supplémentaire au cas où quelqu’un aurait réussi à voler vos jetons ou mots de passe.
Si, malgré tout, vous avez encore des doutes ou craignez que le problème ne s'étende pas au-delà de Minecraft, il est conseillé de consulter des professionnels de la cybersécurité ou des services d'assistance spécialisés . Ils pourront vous aider à examiner minutieusement votre système et à identifier toute trace de logiciel malveillant en dehors de l'environnement du jeu.
Meilleures pratiques pour jouer avec des mods en toute sécurité
Au-delà de la réaction à des incidents spécifiques, il est judicieux d'adopter une série d'habitudes qui rendent beaucoup plus difficile la réussite d'un modificateur malveillant sur votre ordinateur.
La première chose à faire est de maintenir votre système d'exploitation, vos applications et vos solutions de sécurité à jour . De nombreuses attaques exploitent des vulnérabilités connues pour élever leurs privilèges ou persister sur le système, et les correctifs publiés sont conçus pour combler ces failles.
Il est également fortement conseillé de jouer depuis un compte utilisateur sans privilèges d'administrateur . Ainsi, même si un modérateur tente d'installer un élément ou de modifier des zones sensibles du système, la tâche sera plus ardue. Ce n'est pas une protection absolue, mais cela réduit considérablement l'impact potentiel de nombreuses menaces.
Configurer correctement le pare-feu de votre système vous permettra de mieux contrôler les connexions entrantes et sortantes. Si un mod commence à communiquer avec des adresses IP suspectes, des ports inhabituels ou tente de se connecter en masse, un bon pare-feu peut bloquer ce trafic et vous alerter d'une activité anormale.
N'oubliez pas les sauvegardes régulières . Conserver des sauvegardes de vos fichiers importants et de vos mondes Minecraft sur un disque dur externe ou dans le cloud (encore mieux, en suivant la règle 3-2-1) rend une attaque de ransomware ou une infection grave beaucoup moins pénible, car vous pourrez restaurer vos données sans céder aux attaquants.
Enfin, il est conseillé de surveiller l'utilisation du processeur, de la carte graphique et de la mémoire , surtout si vous constatez une surchauffe ou un ralentissement de votre ordinateur après l'installation d'un mod particulier. Une augmentation inexpliquée des ressources pourrait indiquer la présence d'un mineur de cryptomonnaie ou d'un autre processus malveillant s'exécutant en arrière-plan.
La scène du modding de Minecraft est l'une des raisons pour lesquelles le jeu reste si dynamique et diversifié, mais cette même liberté en fait une cible de choix pour des campagnes de vol de données et de diffusion de logiciels malveillants de plus en plus sophistiquées. Comprendre le fonctionnement de ces menaces, apprendre à évaluer l'origine et le comportement des mods, utiliser des outils d'analyse et maintenir des pratiques de sécurité de base fait toute la différence entre profiter d'une expérience Minecraft entièrement personnalisée et risquer de confier vos identifiants, vos fichiers et la puissance de votre ordinateur à une personne mal intentionnée.
