Publié le 23 décembre 2025 à 21h14. Un nouveau paquet malveillant, dissimulé dans le registre npm, cible les utilisateurs de WhatsApp en volant des informations sensibles telles que les messages, les contacts et les identifiants. Malgré plus de 56 000 téléchargements, ce logiciel malveillant reste disponible, exposant de nouveaux utilisateurs à un risque croissant.
- Des chercheurs en cybersécurité ont identifié un paquet npm malveillant nommé « lotusbail » qui se fait passer par une API WhatsApp légitime.
- Ce paquet vole des informations d’identification, intercepte les messages, collecte les contacts et installe une porte dérobée persistante sur les appareils des victimes.
- D’autres campagnes de logiciels malveillants ciblant les développeurs et les utilisateurs de bibliothèques populaires ont été récemment découvertes, notamment des paquets NuGet compromis.
Des experts en cybersécurité ont mis en garde contre un nouveau danger qui guette les utilisateurs de WhatsApp : un paquet malveillant baptisé « lotusbail », découvert dans le registre npm (Node Package Manager). Ce logiciel, présenté comme une interface de programmation d’application (API) permettant d’interagir avec l’application de messagerie, est en réalité un cheval de Troie conçu pour voler des données personnelles et compromettre la sécurité des comptes.
Le paquet « lotusbail », mis en ligne en mai 2025 par un utilisateur se faisant appeler « seiren_primrose », a déjà été téléchargé plus de 56 000 fois, dont 711 au cours de la semaine précédente. Malgré ce nombre important de téléchargements, il reste accessible, ce qui signifie que de nouveaux utilisateurs continuent d’être exposés à ce risque.
Selon l’enquête menée par Koi Security, dirigée par Tuval Admoni, ce logiciel malveillant est capable de voler les informations d’identification WhatsApp, d’intercepter l’intégralité des messages échangés, de collecter les contacts de l’utilisateur, d’installer une porte dérobée persistante et de crypter les données avant de les envoyer aux serveurs contrôlés par les attaquants.
Le fonctionnement de « lotusbail » s’inspire de la bibliothèque légitime @whiskeysockets/baileys, mais intègre un composant WebSocket malveillant qui redirige les informations interceptées vers les serveurs des cybercriminels. Une fois authentifié, l’appareil de l’attaquant est lié au compte WhatsApp de la victime, lui permettant d’accéder à l’ensemble des conversations, contacts et fichiers, même après la désinstallation du logiciel malveillant.
« En utilisant cette bibliothèque pour vous authentifier, vous liez non seulement votre application, mais également l’appareil de l’attaquant. »
Tuval Admoni, Koi Security
Pour se protéger, les utilisateurs doivent accéder aux paramètres de WhatsApp et supprimer manuellement tout appareil non autorisé. Koi Security souligne que les attaques contre la chaîne d’approvisionnement sont en constante évolution et que les systèmes de détection traditionnels, basés sur la réputation et l’analyse statique du code, s’avèrent souvent inefficaces pour identifier ces menaces.
La découverte de « lotusbail » intervient dans un contexte plus large de campagnes de logiciels malveillants ciblant les développeurs et les utilisateurs de bibliothèques populaires. Récemment, ReversingLabs a révélé l’existence de 14 paquets NuGet malveillants qui usurpent l’identité de Nethereum et d’autres outils liés aux cryptomonnaies dans l’environnement .NET. Ces paquets sont conçus pour rediriger les fonds des transactions vers des portefeuilles contrôlés par les attaquants ou pour extraire des clés privées et des phrases de départ lorsque les transferts dépassent 100 USD.
Les responsables de ces paquets malveillants utilisent des tactiques sophistiquées pour créer un faux sentiment de sécurité, notamment en gonflant artificiellement le nombre de téléchargements et en publiant des mises à jour régulières pour simuler une activité légitime. Cette campagne malveillante a débuté en juillet 2025.
Sur le même sujet
