Des paquets de code peuvent saboter des installations industrielles à retardement
Socket, spécialiste de la cybersécurité des chaînes d’approvisionnement, a publié, le 5 novembre 2025, un rapport sur des paquets de code malveillants programmés pour se déclencher à retardement. Les chercheurs les ont découverts dans la bibliothèque de code NuGet, une plateforme gratuite de partage de paquets open source.
Un utilisateur anonyme y a publié, en 2023 et 2024, douze paquets, dont neuf contiennent des instructions malveillantes. Tous sont fonctionnels et conçus pour être intégrés à des logiciels de contrôle industriel.
Ces paquets injectent du code malveillant de façon aléatoire dans 20 % des requêtes, uniquement après une date prédéfinie. Le sabotage d’une installation industrielle peut démarrer dès 30 minutes après l’installation ou se déclencher plusieurs années plus tard ; la date la plus lointaine identifiée est le 29 novembre 2028.
« Les développeurs ayant installé ces paquets en 2024 auront probablement changé d’entreprise ou de projet d’ici 2027-2028, période à laquelle la charge utile pourrait se déclencher », lit-on dans le rapport de Socket. Si NuGet a supprimé les paquets problématiques, ils ont déjà été téléchargés 9 488 fois.
Selon Socket, l’acteur à l’origine de cette campagne pourrait être lié à la Chine.