Vývojáři Notepad++, otevřeného editoru kódu pro platformu Windows, zveřejnili analýzu incidentu, při kterém byla kompromitována síťová infrastruktura poskytovatele a někteří uživatelé Notepad++ obdrželi podvržené spustitelné soubory, které byly stahovány pomocí systému automatického dodávání aktualizací WinGUp.
Útok byl proveden prostřednictvím selektivního přesměrování provozu mezi uživateli a serverem pro stahování aktualizací. Podvržení bylo možné díky zranitelnosti v mechanismu ověřování a kontroly integrity stahované aktualizace. Útočník, schopný se dostat do transitního provozu, mohl podvrhnout manifest aktualizace a vyvolat požadavek na stažení své falešné aktualizace a souvisejících metadat pro kontrolu integrity.
Další analýza ukázala, že útok byl realizován na úrovni infrastruktury hostingového poskytovatele, což umožnilo pachatelům odchytávat a přesměrovávat provoz určený doméně notepad-plus-plus.org. Přesměrování probíhalo selektivně pouze pro určité uživatele, kterým byl dodáván podvržený manifest s informacemi o aktualizacích. První stopy aktivity útočníků jsou datovány k červnu 2025, zatímco poslední – 10. listopadu, ale možnost provedení útoku přetrvávala až do 2. prosince.
Podle informací poskytnutých poskytovatelem byla útok umožněn díky prolomení serveru sdíleného hostingu, na kterém byl umístěn web notepad-plus-plus.org. Dne 2. září, po aktualizaci softwaru, byla díra zablokována, ale útočníci do té doby získali přihlašovací údaje k jednomu z interních služeb, což jim umožnilo přesměrovávat požadavky na skript "https://notepad-plus-plus.org/getDownloadUrl.php" do svých rukou. servery. Dne 2. prosince bylo podvržení aktualizací zaznamenáno a poskytovatel zablokoval přístup útočníků. Po incidentu byl web Notepad++ přesunut k jinému poskytovateli hostingu, který se více stará o bezpečnost.
Ve verzi Notepad++ 8.8.9 byly do Notepad++ a WinGUp přidány povinné kontroly nejen digitálních podpisů, ale také certifikátů pro stahované soubory, aby se zabránilo podvodu s aktualizacemi, a rovněž byla implementována blokace aplikace aktualizace při neúspěšné kontrole. V očekávaném vydání 8.9.2, které přijde během měsíce, bude navíc přidána kontrola digitálního podpisu pro XML manifest (XMLDSig), vracený serverem pro dodávku aktualizací.
Zdroj: opennet.ru
