Udviklerne af Notepad++, en open source kodeeditor til Windows platformen, har offentliggjort en analyse af en hændelse, der resulterede i, at netværksinfrastrukturen hos udbyderen blev kompromitteret, og nogle brugere af Notepad++ modtog manipulerede eksekverbare filer, der blev hentet via WinGUp's automatiske opdateringssystem.
Angrebet blev udført ved selektiv omdirigering af trafik mellem brugeren og opdateringsserveren. Manipulationen var mulig på grund af en sårbarhed i verifikations- og integritetskontrolmekanismen for den hentede opdatering. Angriberen, der kunne infiltrere transittrafikken, kunne manipulere opdateringsmanifestet og initiere en anmodning om at hente sin falske opdatering samt de dertil knyttede metadatakontrol.
Yderligere analyser viste, at angrebet blev udført på infrastrukturelt niveau hostingudbyder, hvilket gjorde det muligt for angriberne at opfange og omdirigere trafik, der var adresseret til domænet notepad-plus-plus.org. Omdirigeringen blev kun udført selektivt for bestemte brugere, som blev givet et manipuleret manifest med opdateringsinformation. De første spor af de angrebende aktiviteter kan dateres til juni 2025, og de seneste til 10. november, men muligheden for at udføre angrebet forblev til 2. december.
Ifølge de oplysninger, der blev givet af udbyderen, blev angrebet muligt på grund af hack af en shared hosting-server, hvor notepad-plus-plus.org's hjemmeside var hostet. Den 2. september, efter en softwareopdatering, blev hullet lukket, men angriberne havde tidligere fået adgangskoder til at tilslutte sig en af de interne tjenester, hvilket gjorde det muligt for dem at omdirigere anmodninger til skriptet "https://notepad-plus-plus.org/getDownloadUrl.php" frem til 2. december. servere. Den 2. december blev opdateringsmanipulationen opdaget, og udbyderen blokerede adgangen for angriberne. Efter hændelsen blev Notepad++'s hjemmeside overflyttet til en anden hostingudbyder, der er mere omhyggelig med sikkerhed.
I version 8.8.9 af Notepad++ er der tilføjet obligatoriske kontroller, ikke kun for digitale signaturer, men også for certifikater til de filer, der downloades, for at blokere for opdateringsmanipulation. I den forventede udgivelse 8.9.2, der kommer om en måned, vil der desuden blive tilføjet en kontrol af den digitale signatur for XML-manifestet (XMLDSig), der returneres fra opdateringsleveringsserveren.
Kilde: opennet.ru
