34 mods et plugins Minecraft malveillants retirés de CurseForge et Modrinth

34 projets Minecraft retirés entre le 20 et le 24 octobre 2026

Entre le 20 et le 24 octobre 2026, 34 projets Minecraft (mods, plugins serveur, resource packs) ont été retirés de CurseForge et Modrinth après détection de code malveillant par le service ModGrade. Ce scanner automatisé inspecte le code source de plus de 642 000 fichiers JAR référencés sur les deux plateformes en décompilant les archives et en analysant les classes Java à la recherche de comportements suspects.

Les menaces identifiées vont du vol de sessions Minecraft et de tokens Discord au téléchargement et à l'exécution silencieuse de scripts malveillants, en passant par l'exfiltration d'adresses IP et le minage de cryptomonnaie. Pour tout administrateur de serveur Minecraft hébergé sur un VPS ou un serveur dédié, cet incident impose une vérification immédiate des plugins et mods installés.

Les comportements malveillants détectés

ModGrade classe les 34 projets retirés en plusieurs catégories de menaces. Un même projet peut combiner plusieurs comportements (source : rapport ModGrade). Voici un récapitulatif des types de code malveillant identifiés dans ces extensions Minecraft :

Les menaces les plus critiques pour un admin : le vol de session permet à l'attaquant de se connecter au compte Microsoft du joueur. Le téléchargement de payloads transforme le VPS en relais pour d'autres attaques. L'injection de commandes serveur (SimpleMute) donne à l'attaquant un accès direct à la console Minecraft.

Comment fonctionne le code malveillant

Les 34 projets retirés utilisent des techniques similaires pour dissimuler leur comportement malveillant dans des fichiers JAR qui s'exécutent normalement sur le serveur Minecraft.

Obfuscation du code Java

Le code source malveillant est obfusqué : les noms de classes et de méthodes sont renommés en chaînes aléatoires, les URL de téléchargement sont encodées en Base64 ou chiffrées, et les appels réseau sont cachés dans des classes utilitaires anodines. Un administrateur qui inspecte le contenu du JAR avec jar tf plugin.jar dans un terminal ne verra pas de nom de fichier suspect, car les noms sont volontairement banals.

Exécution de scripts distants

13 des 34 projets téléchargent et exécutent du code depuis une URL externe. Le scénario typique : au démarrage du plugin, une classe d'initialisation fait un appel HTTP vers un serveur contrôlé par l'attaquant, récupère un script ou un fichier JAR, l'enregistre dans un répertoire temporaire du VPS et l'exécute via Runtime.getRuntime().exec() en Java. Le script téléchargé hérite des droits du processus Java du serveur Minecraft. Si le serveur tourne en root (une erreur fréquente sur les VPS), le script obtient un accès complet au système : il peut lire les fichiers de configuration, les sauvegardes, les clés SSH, et installer d'autres programmes.

Persistance au démarrage

Deux projets (The Juicy Pack, Texture Diagnostics) installent un script de démarrage qui s'exécute automatiquement au boot du VPS. Sur un serveur Linux Ubuntu ou Debian, ce type de script peut s'ajouter dans /etc/cron.d/, dans le fichier ~/.bashrc de l'utilisateur, ou via un service systemd caché. Même après suppression du fichier JAR malveillant du répertoire plugins/, le script persiste et continue de s'exécuter à chaque redémarrage du serveur.

Minage de cryptomonnaie

PGCVisibility combine un faux système bStats avec un mineur qui consomme les ressources CPU et RAM du VPS au détriment du serveur Minecraft. Le processus de minage s'exécute en arrière-plan sous un nom de processus anodin. Un administrateur peut le détecter en surveillant la charge processeur depuis le terminal avec htop ou top : un usage CPU constant de 80-100 % sans joueurs connectés est le signe typique d'un mineur caché.

Liste complète des 34 projets retirés

Voici la liste intégrale publiée par ModGrade, avec la plateforme et le type de chaque projet. Comparez-la avec le contenu de vos répertoires plugins/ et mods/ sur le serveur :

Sur les 34 projets, 26 provenaient de CurseForge et 8 de Modrinth. La majorité sont des plugins serveur (18) et des mods (15), plus un resource pack (The Juicy Pack).

Que faire si vous administrez un serveur Minecraft

Si vous hébergez un serveur Minecraft sur un VPS Linux (Ubuntu, Debian) ou un serveur dédié, voici les étapes à suivre depuis votre terminal SSH.

1. Vérifier vos plugins et mods installés

Connectez-vous en SSH au VPS et listez le contenu des répertoires de plugins et de mods. Si votre serveur Minecraft tourne sous un utilisateur dédié (recommandé, jamais en root), utilisez sudo si nécessaire :

ls -la /home/minecraft/server/plugins/
ls -la /home/minecraft/server/mods/

Comparez chaque fichier JAR avec la liste des 34 projets ci-dessus. Attention : le nom du fichier JAR ne correspond pas toujours exactement au nom du projet sur la plateforme. Vérifiez le fichier plugin.yml (plugins Bukkit/Spigot/Paper) ou fabric.mod.json (mods Fabric) à l'intérieur du JAR :

jar tf /home/minecraft/server/plugins/suspect.jar | head -20
unzip -p /home/minecraft/server/plugins/suspect.jar plugin.yml

2. Scanner avec ModGrade Scanner

ModGrade propose un outil de scan en ligne sur modgrade.com/scanner : soumettez vos fichiers JAR pour les analyser contre la base de signatures de code malveillant connues. Le scanner détecte aussi des projets suspects qui ne figurent pas dans cette liste de 34.

3. Supprimer les fichiers malveillants et redémarrer

Supprimez tout plugin ou mod identifié, puis redémarrez le serveur Minecraft. Depuis le terminal du VPS :

sudo rm /home/minecraft/server/plugins/fichier-malveillant.jar
sudo systemctl restart minecraft

Si votre serveur utilise un panel comme Pterodactyl, consultez notre tutoriel sauvegardes Pterodactyl : restaurer un serveur pour restaurer un état sain depuis une sauvegarde antérieure à l'installation du plugin compromis.

4. Vérifier les scripts persistants sur le VPS

Si un des projets avec persistance au démarrage était installé (The Juicy Pack, Texture Diagnostics) ou un projet qui télécharge des payloads (Vanilla Evolution, EffectArmorMod, EpicCraft III), vérifiez que le malware n'a pas installé de scripts persistants sur le VPS. Exécutez ces commandes dans le terminal :

# Vérifier les tâches cron de tous les utilisateurs
sudo ls -la /etc/cron.d/
sudo crontab -l
crontab -l -u minecraft
# Vérifier les services systemd récemment créés
sudo find /etc/systemd/system/ -mtime -30 -name "*.service"
# Vérifier les fichiers modifiés récemment dans /tmp
sudo find /tmp /var/tmp -type f -mtime -7

Pour un audit système complet des logs du VPS, consultez notre tutoriel analyser les logs d'un serveur de jeu Linux avec journalctl.

5. Révoquer les tokens et mots de passe compromis

Si un mod voleur de sessions ou de credentials était installé, considérez les données suivantes comme compromises :

• Session Minecraft : changez le mot de passe de votre compte Microsoft et activez l'authentification à deux facteurs ;
• Token Discord : changez le mot de passe Discord, activez le 2FA et révoquez les sessions actives dans les paramètres de sécurité du compte ;
• Mots de passe navigateur : si MoreArmor/Weapons ou Dungeons Extras était installé, changez tous les mots de passe enregistrés dans votre navigateur.

6. Auditer les logs du serveur Minecraft

Vérifiez les logs du serveur pour repérer d'éventuelles commandes exécutées à distance ou des connexions inhabituelles. Depuis le terminal du VPS :

grep -i "issued server command" /home/minecraft/server/logs/latest.log
tail -500 /home/minecraft/server/logs/latest.log | grep -i "login\|join\|command"

Consultez aussi les logs système du VPS pour repérer toute activité réseau suspecte vers des adresses IP ou des URL inconnues :

sudo journalctl -u minecraft --since "7 days ago" | grep -i "connect\|download\|http"

Sécuriser le VPS après nettoyage

Après avoir supprimé les extensions malveillantes, profitez-en pour renforcer la sécurité globale du VPS qui héberge votre serveur Minecraft.

Configurer le pare-feu pour limiter les ports ouverts

Un pare-feu (firewall) correctement configuré limite la surface d'attaque du serveur. Autorisez uniquement les ports nécessaires : SSH (22), le port du serveur Minecraft (25565 par défaut) et les ports de vos autres services. Sur Ubuntu ou Debian, configurez UFW depuis le terminal :

sudo ufw default deny incoming
sudo ufw allow 22/tcp
sudo ufw allow 25565/tcp
sudo ufw enable
sudo ufw status

Pour une configuration avancée du pare-feu, consultez notre tutoriel sécuriser un VPS Ubuntu avec SSH, UFW et Fail2ban.

Planifier des sauvegardes régulières

Des sauvegardes régulières du serveur Minecraft et du VPS permettent de restaurer un état sain en cas de compromission. Planifiez des sauvegardes automatiques des répertoires du serveur (monde, plugins, configuration) vers un emplacement distant. Consultez notre tutoriel sauvegarder un VPS avec rsync pour mettre en place une stratégie de sauvegardes fiable.

Ne jamais exécuter le serveur en root

Un serveur Minecraft qui tourne en root donne au processus Java (et à tous ses plugins) un accès total au système d'exploitation du VPS. Créez un utilisateur dédié avec des droits limités :

sudo adduser --disabled-password minecraft
sudo -u minecraft java -Xmx4G -jar server.jar nogui

Si un plugin malveillant s'exécute sous un utilisateur non root, les dégâts restent confinés au répertoire de cet utilisateur. Le script malveillant ne peut pas installer de service systemd, modifier les fichiers de configuration système du VPS ni accéder aux clés SSH de l'administrateur.

CurseForge et Modrinth ne sont pas compromis

Les plateformes elles-mêmes n'ont pas été piratées. Les auteurs malveillants ont publié des projets contenant du code obfusqué via leurs propres comptes. ModGrade a analysé les fichiers et signalé les projets suspects. CurseForge a banni les comptes des auteurs impliqués le 25 octobre 2026. Le scan automatisé a fonctionné, mais avec un délai : certains projets sont restés en ligne plusieurs jours avant leur retrait (Sheer Item Frames a été retiré le 20 octobre, FabZoom le 21, tandis que la majorité a été retirée le 24).

Ce type d'incident n'est pas nouveau dans l'écosystème Minecraft. En juin 2023, le malware fractureiser avait infecté des dizaines de mods sur CurseForge via des comptes développeurs compromis. La différence ici : les comptes n'ont pas été piratés, les auteurs ont volontairement publié du code malveillant dans leurs propres projets. Plusieurs plugins retirés étaient des copies volées de plugins légitimes (DelexeHub, Bedwars Minigame, AntiFreeCam, BestKitPvP, HubParkour, Better Horse Teleport, EasyGuiShop) dans lesquelles du code malveillant a été injecté.

Pour réduire votre exposition, utilisez une whitelist sur votre serveur Minecraft et n'installez que des plugins maintenus par des auteurs reconnus avec un historique vérifiable.

Bonnes pratiques pour le choix des mods et plugins

Chaque plugin installé sur un serveur Minecraft est une surface d'attaque supplémentaire. Quelques réflexes à adopter avant d'installer une extension depuis CurseForge, Modrinth ou toute autre plateforme de téléchargement :

• Privilégiez les projets établis : un plugin avec des milliers de téléchargements, des mises à jour régulières et un code source ouvert présente moins de risques qu'un projet récent sans historique.
• Limitez le nombre d'extensions : moins de plugins signifie moins de risques, moins de RAM consommée et de meilleures performances du serveur. Consultez notre tutoriel optimiser les performances Minecraft (TPS) pour maintenir un serveur stable.
• Scannez avant d'installer : utilisez ModGrade Scanner ou inspectez le contenu du JAR (jar tf plugin.jar) depuis le terminal du VPS pour repérer des classes suspectes avant de placer le fichier dans le répertoire plugins/.
• Surveillez la consommation de ressources : un plugin de minage comme PGCVisibility se trahit par une charge CPU et une consommation de RAM anormales sur le VPS. Vérifiez régulièrement avec htop dans le terminal SSH.
• Vérifiez le compte de l'auteur : un compte créé récemment sur CurseForge ou Modrinth, sans autre projet à son actif, est un signal d'alerte. Plusieurs des 34 projets retirés provenaient de comptes sans historique.
• Maintenez le serveur à jour : les mises à jour de Paper, Spigot, Fabric et Forge corrigent régulièrement des vulnérabilités. Consultez notre tutoriel mettre à jour un serveur de jeu Linux pour les bonnes pratiques.
• Planifiez des sauvegardes automatiques : en cas de compromission, une sauvegarde récente permet de restaurer le serveur sans perte de données.

Pour bien choisir vos premières extensions, consultez notre sélection de meilleurs mods pour débuter sur Minecraft.

Questions fréquentes