Scanner et auditer les plugins de son serveur Minecraft contre les malwares

Plugins compromis : une menace récurrente sur les serveurs Minecraft

Un serveur Minecraft Bukkit, Spigot ou Paper exécute des extensions sous forme de fichiers JAR (plugins). Chaque plugin dispose d'un accès complet au processus Java du serveur : lecture et écriture sur le disque dur, connexions réseau, mémoire vive (RAM), processeur. Un plugin compromis peut contenir un cheval de Troie capable de voler des identifiants, installer un virus persistant sous forme de service au démarrage du système d'exploitation, ou transformer votre machine en relais de spam. Ces logiciels malveillants ne sont pas une menace théorique : depuis 2022, plusieurs incidents documentés ont touché des milliers de serveurs dans le monde, y compris des plugins hébergés sur des sites web réputés fiables.

Ce tutoriel s'adresse aux administrateurs qui gèrent un serveur Minecraft sur un VPS Linux ou un serveur dédié chez un hébergeur comme ElypseCloud. Il explique comment scanner les JARs installés depuis un terminal, vérifier l'intégrité des fichiers téléchargés, et mettre en place une politique de sécurité anti-malware adaptée à un serveur de production.

Les incidents majeurs : de plugin-config.bin à la campagne d'octobre 2026

Trois incidents illustrent la gravité du problème et l'évolution des techniques employées par les auteurs de logiciels malveillants ciblant les serveurs Minecraft.

plugin-config.bin (septembre 2022)

Le 29 septembre 2022, l'équipe PaperMC a publié une alerte concernant un malware propagé via des comptes d'auteurs de plugins Spigot compromis. Le marqueur de cette infection est un fichier nommé plugin-config.bin embarqué dans les JARs infectés. Ce virus se réplique automatiquement vers les autres fichiers JAR présents sur le disque dur du serveur et installe des services système au démarrage de la machine, en dehors du processus Minecraft. Une simple suppression du plugin infecté ne suffit donc pas : le cheval de Troie persiste au niveau du système d'exploitation.

L'équipe PaperMC recommandait de supprimer tous les JARs, de les retélécharger depuis les sites web officiels, puis de réinstaller complètement le système d'exploitation, car le logiciel malveillant persiste au-delà du répertoire du serveur de jeu.

fractureiser (juin 2023)

En juin 2023, le malware fractureiser a été découvert dans plusieurs projets publiés sur CurseForge et BukkitDev. Des comptes de développeurs compromis ont servi à injecter du code malveillant dans des mods et des plugins, y compris dans des modpacks populaires totalisant des millions de téléchargements. Ce cheval de Troie pouvait infecter tous les fichiers .jar du système (plugins Spigot, mods, le client Minecraft), voler les cookies et identifiants stockés dans les navigateurs Chrome et Firefox, remplacer les adresses de portefeuilles de cryptomonnaies dans le presse-papiers, et dérober les identifiants des comptes Microsoft et Discord. Le virus ciblait les ordinateurs sous Windows et Linux.

L'incident a conduit la communauté à créer des outils anti-malware dédiés et à renforcer les contrôles sur les plateformes de distribution. Tout téléchargement effectué sur CurseForge ou le dépôt Bukkit entre février et juin 2023 devait être traité comme potentiellement compromis. Pour un rappel complet de cet épisode, consultez notre actualité sur les mods Minecraft malveillants.

Campagne d'octobre 2026 : 43 projets infectés sur Modrinth et CurseForge

En octobre 2026, une nouvelle campagne de logiciels malveillants a été identifiée sur Modrinth et CurseForge, touchant 43 projets au total : 18 sur Modrinth, 25 sur CurseForge (source : ModGrade, rapport du 27 octobre 2026). Parmi les plugins Bukkit/Paper compromis :

• PGCVisibility : ce plugin Paper/Bukkit embarquait un mineur de cryptomonnaie caché, exploitant le processeur et la RAM du serveur à l'insu de l'administrateur. Il contenait du code imitant le service d'analytique bStats pour masquer son activité ;
• BerryAntiCheat : présenté comme un anti-triche, ce plugin contenait la même signature de code malveillant imitant bStats, retiré par Modrinth le 24 octobre 2026 ;
• Six mods de la campagne "today.coffee" téléchargeaient en arrière-plan des extensions malveillantes pour les navigateurs Chrome, Firefox, Edge et Opera, capables de capturer les mots de passe tapés et les cookies de session sur les ordinateurs des joueurs et des administrateurs.

Modrinth a retiré les projets concernés entre le 20 et le 27 octobre 2026. Cet incident rappelle que même les sites internet considérés comme fiables ne sont pas à l'abri d'une compromission temporaire : le scanner anti-malware de la plateforme peut ne pas détecter une nouvelle variante de virus avant son signalement par la communauté.

Scanner les JARs de votre serveur

Si vous administrez un serveur Minecraft en production, la première étape est de vérifier les plugins et extensions déjà installés sur le disque dur. Ouvrez un terminal (ou un shell SSH vers votre VPS) et utilisez les méthodes suivantes. Elles sont complémentaires : chacune couvre un type de menace différent.

Rechercher plugin-config.bin

La commande la plus rapide pour détecter le cheval de Troie de 2022 consiste à chercher la chaîne plugin-config.bin dans les fichiers du répertoire plugins/. Depuis le terminal de votre serveur Linux :

cd /chemin/vers/votre/serveur
grep -rl "plugin-config.bin" plugins/

Sous Windows (invite de commandes ou PowerShell), la commande équivalente fournie par PaperMC dans son annonce officielle :

findstr /sml /c:"plugin-config.bin" plugins\*

Si l'une de ces commandes retourne un résultat, le fichier JAR correspondant est infecté. Ne le supprimez pas simplement : suivez la procédure de nettoyage complète décrite plus bas.

MCAntiMalware

MCAntiMalware est un outil anti-malware autonome (ce n'est pas un plugin serveur) développé par OpticFusion1 et recommandé par l'équipe PaperMC. Ce logiciel détecte les signatures de plus de 1 000 plugins malveillants connus, des chevaux de Troie aux mineurs de cryptomonnaie. Il nécessite Java 17 ou supérieur. Depuis votre terminal, téléchargez la dernière version et lancez le scan :

wget https://github.com/OpticFusion1/MCAntiMalware/releases/latest/download/MCAntiMalware.jar
java -jar MCAntiMalware.jar

L'outil anti-malware génère un rapport dans le dossier AntiMalware/logs avec les menaces détectées. L'équipe PaperMC recommande un scan mensuel si vous installez des plugins tiers fréquemment. Vous pouvez automatiser cette tâche avec un script shell et une tâche cron planifiée.

PluginScan

PluginScan, développé par Rikonardo (Kai Shimizu), analyse le bytecode Java des fichiers JAR pour repérer des comportements suspects : chargement de bibliothèques natives en cours d'exécution, appels à Player.setOp(), connexions réseau non déclarées vers des URL externes. L'outil fonctionne en ligne de commande dans le terminal ou dans le navigateur via le site web scan.rikonardo.com (le scan reste entièrement côté client, aucun fichier n'est envoyé à un serveur tiers) :

java -jar PluginScan.jar plugins/

Chaque résultat est classé par niveau de risque. Un niveau élevé ne signifie pas forcément que le plugin est un virus : certains comportements légitimes (comme un antivirus ou un anti-triche qui inspecte la mémoire) déclenchent des alertes. Inversement, une absence de détection ne garantit pas la sécurité : une obfuscation avancée peut masquer un logiciel malveillant.

Vérifier l'intégrité des plugins avec SHA-256

Scanner les fichiers existants ne suffit pas : il faut aussi s'assurer que chaque plugin téléchargé n'a pas été modifié entre le site web de distribution et votre serveur. La vérification par empreinte SHA-256 permet de comparer le fichier reçu au fichier publié par l'auteur sur la page officielle.

Générer l'empreinte d'un fichier JAR

Sur un VPS Linux (Ubuntu, Debian), ouvrez un terminal et exécutez :

sha256sum plugins/MonPlugin.jar

Sur macOS (OS X), depuis le terminal :

shasum -a 256 plugins/MonPlugin.jar

Sous Windows (PowerShell) :

Get-FileHash plugins\MonPlugin.jar -Algorithm SHA256

Comparez l'empreinte affichée avec celle publiée sur la page officielle du plugin (SpigotMC, Modrinth ou Hangar). Vérifiez l'URL de la page de téléchargement et son nom de domaine avant de faire confiance à l'empreinte : un site internet imitant SpigotMC avec un nom de domaine similaire peut publier une fausse empreinte correspondant à un fichier infecté par un virus. Si les deux valeurs diffèrent, le fichier a été altéré : ne l'installez pas.

Automatiser la vérification avec un script

Pour un serveur avec de nombreuses extensions, conservez un fichier de référence contenant les empreintes de chaque JAR validé :

sha256sum plugins/*.jar > plugins-checksums.sha256

Lors d'une vérification ultérieure, ce script en une ligne détecte tout fichier modifié :

sha256sum -c plugins-checksums.sha256

Tout fichier modifié depuis la dernière validation sera signalé. Intégrez cette vérification dans votre procédure de mise à jour de serveur de jeu. Sous Windows, le script PowerShell équivalent utilise Get-FileHash avec un fichier de référence CSV.

Ne télécharger que depuis des sources fiables

La première ligne de défense contre les logiciels malveillants est la source de téléchargement. Ne téléchargez jamais un plugin via FTP depuis un serveur tiers ou un lien partagé dans un salon Discord. Trois sites web sont reconnus par la communauté Minecraft comme plateformes de confiance :

• SpigotMC : la plateforme historique pour les plugins Bukkit et Spigot, avec un système de vérification des auteurs et de signalement communautaire ;
• Modrinth : plateforme open source pour les mods et plugins Minecraft, avec des contrôles de sécurité automatisés. Malgré ces contrôles, 18 projets malveillants y ont été identifiés en octobre 2026 ;
• Hangar : le dépôt officiel de l'équipe PaperMC, dédié aux plugins Paper et Velocity.

Les règles à respecter pour un serveur de production :

• Ne jamais installer de plugin téléchargé depuis un forum non officiel, un site internet inconnu, un lien FTP ou un site proposant des plugins premium "gratuits" (plugins crackés, souvent des chevaux de Troie) ;
• Vérifier que l'URL de la page de téléchargement correspond au nom de domaine officiel de la plateforme (spigotmc.org, modrinth.com, hangar.papermc.io) ;
• Vérifier que le plugin est compatible avec votre version de Minecraft et qu'il est à sa dernière version disponible ;
• Consulter la date de dernière mise à jour, le nombre de téléchargements et les avis de la communauté ;
• Si un plugin n'est pas maintenu depuis plus d'un an, chercher un fork actif ou une alternative.

Pour compléter la sécurisation des accès à votre serveur, consultez notre guide Whitelist sur un serveur Minecraft afin de limiter les connexions aux joueurs autorisés.

Politique de sécurité pour un serveur Minecraft de production

Un serveur Minecraft ouvert à des joueurs mérite les mêmes précautions qu'un site web ou un service exposé sur Internet. Un serveur compromis peut servir de relais de spam, de mineur de cryptomonnaie ou de point d'entrée vers d'autres machines du réseau. Voici les mesures à appliquer.

Isolation et protection système

• Exécuter le serveur Minecraft sous un compte utilisateur dédié (jamais root), avec des permissions limitées au répertoire du serveur sur le disque dur ;
• Configurer le firewall (pare-feu) pour n'ouvrir que le port de jeu (25565 par défaut) et le port SSH d'administration. Fail2ban bloque les tentatives de connexion SSH par force brute ;
• Durcir l'accès SSH avec une authentification par clé publique et désactiver l'authentification par mot de passe (sécuriser SSH sur VPS Linux) ;
• Sous Windows, vérifier que l'antivirus (Windows Defender ou un anti-virus tiers) est actif et à jour. Sous Linux, un antivirus comme ClamAV peut scanner le disque dur du serveur en complément des outils anti-malware spécifiques à Minecraft ;
• Conserver les backups (sauvegardes) des mondes, des configurations et de la base de données MySQL en dehors du répertoire du serveur, idéalement sur un stockage distant ou un second disque dur.

Procédure d'ajout de plugin

1. Télécharger le JAR depuis SpigotMC, Modrinth ou Hangar uniquement, en vérifiant l'URL et le nom de domaine du site web ;
2. Vérifier l'empreinte SHA-256 si l'auteur la publie sur la page du plugin ;
3. Scanner le JAR avec MCAntiMalware ou PluginScan avant de le copier dans plugins/ ;
4. Tester le plugin sur un environnement de staging ou un serveur de test avant de l'installer en production ;
5. Documenter chaque extension installée : nom, version, source (URL), date d'installation, empreinte SHA-256.

Maintenance et scripts de surveillance

• Mettre à jour les plugins et le serveur (Paper, Spigot) vers la dernière version dès qu'un correctif de sécurité est publié ;
• Scanner le répertoire plugins/ avec l'outil anti-malware MCAntiMalware au moins une fois par mois. Automatisez ce scan avec un script shell lancé par cron ;
• Surveiller la consommation de RAM et de processeur : un pic inexpliqué peut signaler un mineur de cryptomonnaie caché dans un plugin, comme le virus PGCVisibility détecté en octobre 2026. Consultez notre guide optimiser les performances Minecraft (TPS) pour le suivi des ressources ;
• Surveiller les annonces de sécurité de PaperMC et de SpigotMC ;
• Conserver des sauvegardes (backups) régulières pour pouvoir restaurer un état sain en cas de compromission ;
• Si une infection est confirmée : supprimer tous les JARs du disque dur, retélécharger chaque plugin depuis le site officiel, changer les mots de passe RCON et MySQL, et envisager la réinstallation du système d'exploitation.

Que faire en cas d'infection confirmée

Si un scan anti-malware détecte un plugin compromis sur votre serveur, la suppression du seul fichier infecté est insuffisante. Les logiciels malveillants Minecraft connus (chevaux de Troie, virus auto-répliquants) se propagent aux autres JARs sur le disque dur et installent des services système persistants au démarrage de la machine. La procédure recommandée par l'équipe PaperMC :

1. Arrêter immédiatement le serveur Minecraft ;
2. Sauvegarder (backup) les données de jeu : mondes, configurations, base de données MySQL, sur un support séparé ;
3. Supprimer tous les fichiers JAR du serveur (serveur, plugins, mods) du disque dur ;
4. Retélécharger chaque fichier depuis sa source officielle (URL du site web de l'auteur) et vérifier son empreinte SHA-256 ;
5. Réinstaller le système d'exploitation de la machine si le logiciel malveillant installe des services au démarrage du système (cas de plugin-config.bin et fractureiser) ;
6. Changer tous les mots de passe : RCON, base de données MySQL, accès SSH, accès FTP, comptes du panneau d'administration (Pterodactyl ou toute interface web PHP) ;
7. Sur les ordinateurs ayant accédé au serveur ou au panneau de gestion : vérifier les extensions installées dans Chrome et Firefox (fractureiser et la campagne today.coffee volent les cookies des navigateurs), lancer un scan antivirus complet ;
8. Scanner le serveur restauré avec MCAntiMalware avant de le remettre en ligne.

Pour les mesures de sécurité générales applicables au serveur lui-même, consultez notre guide Sécuriser un serveur dédié : premiers réglages.

Tableau récapitulatif des outils de scan anti-malware

Conclusion

Les plugins Bukkit et Paper sont du code exécutable avec un accès complet aux ressources de votre serveur : disque dur, réseau, RAM, processeur. Les incidents passés (plugin-config.bin en 2022, fractureiser en 2023, campagne d'octobre 2026 sur Modrinth et CurseForge) montrent que même les sites web réputés peuvent distribuer temporairement des logiciels malveillants. La combinaison d'un scan anti-malware régulier des JARs depuis le terminal, d'une vérification systématique des empreintes SHA-256, d'un antivirus actif sur la machine hôte et d'une politique stricte sur les sources de téléchargement réduit considérablement le risque. Pour héberger un serveur Minecraft en sécurité chez un hébergeur comme ElypseCloud, ces vérifications doivent faire partie de la routine d'administration, au même titre que les backups et les mises à jour vers la dernière version.