WeedHack, LofyStealer et la vague de malwares dans les mods Minecraft en 2026 : comment ça marche et comment se protéger

Mis à jour November 12, 2026

Une seule opération de malware a infecté les PC de plus de 116 000 joueurs Minecraft en 2026, et ce n’était que la plus grosse parmi plusieurs. Voici comment fonctionne la vague de malwares dans les mods et clients de triche, qui est derrière et comment garder votre PC à l’écart.

Mise à jour, 12 novembre : la vague a atteint les plugins de serveur. Un scanner indépendant a trouvé des malwares dans au moins sept plugins Bukkit et Paper, dont un LagFixer imitateur et un plugin Mace SMP caché derrière une fausse adresse bStats, ainsi que 12 faux sites Prism, HMCL et Minecraft Launcher qui installent un accès à distance. Lire l’article complet et la checklist pour serveurs.

Imaginez télécharger ce qui ressemble à Meteor Client ou Wurst depuis un site en tête de Google. Le tutoriel vidéo qui vous y a envoyé a l’air sérieux, et le jar se lance même. Pendant ce temps, votre session Minecraft, votre token Discord, vos mots de passe enregistrés et votre webcam appartiennent à quelqu’un d’autre. C’est le modèle économique de WeedHack, la plus grosse opération de malware visant Minecraft jamais documentée, et elle a tourné des mois avant que quiconque s’en aperçoive.

• 116 464PC infectés par WeedHack de janvier à juin 2026
• 2–3 000Nouvelles victimes de WeedHack par jour au pic
• 5 $Prix mensuel de départ pour le louer, selon les rapports
• 10+Faux sites de clients encore en ligne après le démantèlement

Pourquoi cette vague est différente

• C’est un produit, pas un pirate isolé. WeedHack est un malware en tant que service. Les clients disposent d’un tableau de bord web avec leurs victimes, les données volées et un générateur de charges pour Minecraft 1.21.x, plus des tutoriels pour le diffuser.
• Il se cache dans de vrais mods. Le générateur peut injecter le voleur dans des jars de mods légitimes : le mod continue de fonctionner pendant que le vol se déroule en arrière-plan.
• Il vise les utilisateurs de clients de triche. La liste des outils imités par McAfee comprend Meteor, Wurst, LiquidBounce, Aristois, Impact, Future, Inertia et d’autres.
• Il a survécu à un démantèlement. Ses serveurs de commande ont été perturbés mi-2026, mais en août McAfee a constaté que le réseau de distribution tournait toujours, déplacé vers Discord, MediaFire et de faux sites de clients générés par IA bien classés sur Google.
• Il se propage aussi par USB. Environ 9 000 infections sont passées par des clés USB et d’autres supports amovibles.

Les campagnes qui ont frappé les joueurs Minecraft en 2026

LofyGang est un groupe cybercriminel brésilien resté silencieux plus de trois ans avant de réapparaître avec l’appât Slinky, selon The Hacker News. Les chercheurs de Dark Atlas ont fait remonter les origines de WeedHack à un voleur privé nommé Majanito fin 2025, avant qu’il ne soit renommé et vendu ouvertement.

Malwares sur CurseForge et Modrinth : le coup de balai d’octobre 2026

Les sites officiels de mods sont plus sûrs que n’importe quelle page de téléchargement, mais ils ne sont pas propres. Entre le 20 et le 24 octobre 2026, Modgrade, un site qui analyse les mods et plugins Minecraft, a signalé 34 projets encore en ligne sur CurseForge et Modrinth contenant un malware. Tous ont depuis été retirés.

• Des mods utilitaires qui volaient votre connexion. Full Bright, TooManyTools et Slimagar sur CurseForge envoyaient les sessions Minecraft des joueurs (et, pour Full Bright, les tokens Discord) vers un serveur externe. Dungeons Extras récupérait aussi les mots de passe enregistrés dans le navigateur.
• Des plugins de serveur avec des mineurs. PGCVisibility, un plugin Paper sur Modrinth, cachait un mineur de cryptomonnaie. SimpleHomePlugin contenait du code imitant bStats, un signe connu d’une campagne de malwares dans les plugins.
• Sains au départ, piégés ensuite. Le 27 octobre, Modrinth a retiré six autres petits mods après qu’un chercheur a remarqué qu’ils téléchargeaient une « mise à jour » depuis un site externe. Modgrade a trouvé leurs fichiers 1.0.0 sains. Les fichiers 1.0.1 installaient une extension de navigateur voleuse de mots de passe.

C’est ce dernier piège qu’il faut retenir : un mod peut être sain quand vous l’ajoutez et devenir malveillant lors d’une mise à jour ultérieure. Si vous utilisez des mods petits ou récents, vérifiez votre dossier de mods après les mises à jour, pas seulement une fois.

Comment vous vérifier et rester en sécurité

1. Téléchargez les mods uniquement sur Modrinth ou CurseForge, et les clients uniquement sur le site officiel du développeur ou sur GitHub. Tapez l’adresse vous-même plutôt que de faire confiance à une publicité, au premier résultat de recherche ou à la description d’une vidéo.
2. Considérez les clients payants « gratuits » et les triches crackées comme des malwares. Ce sont les principaux appâts.
3. Méfiez-vous des fichiers envoyés par des amis, surtout les modpacks, launchers et fichiers .exe, même depuis des comptes de confiance. Les comptes d’amis piratés sont le moyen de propagation de ces campagnes.
4. Analysez votre PC si vous avez installé des mods ou clients tiers cette année, puis changez vos mots de passe Microsoft et Discord depuis un appareil sain et déconnectez toutes les sessions.
5. N’enregistrez ni mots de passe ni cartes dans le navigateur d’une machine sur laquelle vous testez aussi des mods.

Pour les pièges côté Discord, comme les faux liens de vérification et les messages d’amis, consultez notre guide des arnaques Discord.

Admins de serveurs : plugins à porte dérobée

Les joueurs ne sont pas les seules cibles. En mai 2026, le youtubeur KasaiSora a signalé que NameTags, un plugin de serveur comptant environ 15 000 téléchargements sur Modrinth, contenait un chargeur caché qui récupérait du code sur le site de son développeur et pouvait donner le statut d’opérateur à un compte précis. Selon ce signalement, Modrinth a retiré les projets du développeur après examen du code, mais bStats affichait encore environ 900 serveurs utilisant le plugin. Ces chiffres viennent de la vidéo et nous n’avons pas pu les vérifier de façon indépendante.

• Supprimez tout plugin retiré de Modrinth ou de Hangar pour malware, et ne le réinstallez pas depuis le site du développeur.
• Vérifiez ops.json et votre plugin de permissions à la recherche de comptes inconnus.
• Privilégiez les plugins open source avec un historique actif et méfiez-vous de ceux qui téléchargent du code pendant l’exécution.

Et maintenant ?

Le démantèlement n’a pas arrêté WeedHack, car ses opérateurs gèrent un réseau de distribution, pas un site unique. Tant que des joueurs chercheront des clients de triche gratuits, ces campagnes continueront de sortir de nouveaux déguisements. La règle la plus sûre n’a pas changé : si un téléchargement promet gratuitement ce qui coûte normalement de l’argent, ou vous donne un avantage que vous ne devriez pas avoir, partez du principe qu’il vous coûtera votre compte.