Атака върху проекта Notepad++, довела до селективна подмяна на актуализации.

Разработчиците на Notepad++, отворения редактор на код за платформата Windows, публикуваха анализ на инцидент, при който беше компрометирана мрежовата инфраструктура на доставчика и някои потребители на Notepad++ получиха манипулирани изпълними файлове, които се изтеглят с използването на системата за автоматично доставяне на актуализации WinGUp.

Атаката беше извършена чрез селективно пренасочване на трафика между потребителя и сървъра за изтегляне на актуализации. Манипулацията стана възможна поради уязвимост в механизма за верификация и проверка на целостта на изтегляната актуализация. Атакуващият, способен да се намеси в транзитния трафик, можеше да манипулира манифеста на актуализацията и да инициира искане за изтегляне на своя фалшива актуализация и свързаните с нея метаданни за проверка на целостта.

Допълнителният анализ показа, че атаката е реализирана на ниво инфраструктура хостинг доставчик, което позволи на злонамерените лица да прихващат и пренасочват трафика, насочен към домейна notepad-plus-plus.org. Пренасочването беше селективно извършвано само за определени потребители, на които беше предоставен манипулиран манифест с информация за актуализациите. Първите следи от активността на нападателите датират от юни 2025 година, а последните – 10 ноември, но възможността за извършване на атаката оставаше до 2 декември.

Съдейки по предоставената от доставчика информация, атаката стана възможна благодарение на хакерска атака върху сървъра за споделено хостинг, на който се намираше сайтът notepad-plus-plus.org. На 2 септември, след актуализация на софтуера, вратичката беше закрита, но нападателите преди това получиха данни за достъп до един от вътрешните услуги, което им позволяваше до 2 декември да пренасочват заявки към скрипта "https://notepad-plus-plus.org/getDownloadUrl.php" на своите сървъри. На 2 декември манипулацията на актуализациите беше забелязана и доставчикът блокира достъпа на нападателите. След инцидента сайтът на Notepad++ беше преместен при друг хостинг доставчик, който по-старателно се грижи за сигурността.

В версия 8.8.9 на Notepad++ бяха добавени задължителни проверки не само на цифровите подписи, но и на сертификатите за изтеглените файлове, за да се предотврати подмяната на актуализации в Notepad++ и WinGUp, а също така беше реализирана блокировка на применението на актуализацията при неуспешна проверка. В очакваното издание 8.9.2, планирано за следващия месец, ще бъде добавена допълнителна проверка на цифровата подпис за XML манифеста (XMLDSig), връщан от сървъра за доставка на актуализации.

Източник: opennet.ru