A Notepad++ fejlesztői, a Windows platform számára készült nyílt forráskódú kódszerkesztője, közzétették az incidens elemzését, amelyben a szolgáltató hálózati infrastruktúrája kompromittálódott, és néhány Notepad++ felhasználó hamis végrehajtható fájlokat kapott, amelyeket a WinGUp automatikus frissítési rendszerén keresztül töltöttek le.
A támadást a forgalom célzott átirányításával hajtották végre a felhasználó és a frissítési szerver között. A hamisítás lehetővé vált a letöltési frissítés hitelesítési és integritás-ellenőrzési mechanizmusának sebezhetősége miatt. A támadó, aki be tudott férkőzni a tranzitforgalomba, hamisíthatta a frissítési manifesztet, és elindíthatta a kérés kiadását a hamis frissítés letöltésére, valamint a kapcsolódó integritás-ellenőrzési metadatokra.
További elemzés azt mutatta, hogy a támadás az infrastruktúra szintjén valósult meg szolgáltató, amely lehetővé tette a támadók számára, hogy elfogják és átirányítsák a notepad-plus-plus.org domainre irányuló forgalmat. Az átirányítás csak bizonyos felhasználók számára történt, akik hamisított manifestet kaptak a frissítések információival. Az első támadói aktivitás nyomait 2025 júniusára datálták, míg az utolsókat november 10-én, de a támadási lehetőség egészen december 2-ig fennállt.
A szolgáltató által megadott információk szerint a támadás a notepad-plus-plus.org weboldalt hostáló megosztott tárhelyszolgáltató szerverének feltörésével vált lehetővé. Szeptember 2-án, a szoftverfrissítés után a rés be volt zárva, de a támadók korábban megszerezték egy belső szolgáltatásra való csatlakozáshoz szükséges hitelesítő adatokat, ami lehetővé tette számukra, hogy december 2-ig átirányítsák a kéréseket a „https://notepad-plus-plus.org/getDownloadUrl.php” scriptre. szerverek. December 2-án a frissítések hamisítása észlelésre került, és a szolgáltató blokkolta a támadók hozzáférését. Az incidens után a Notepad++ weboldalt egy másik, a biztonságról jobban gondoskodó tárhelyszolgáltatóhoz helyezték át.
A Notepad++ 8.8.9 verzióban a frissítések manipulációjának blokkolására kötelező ellenőrzéseket vezettek be a Notepad++ és WinGUp keretein belül, amelyek nemcsak a digitális aláírásokat, hanem a letöltött fájlok tanúsítványait is tartalmazzák. A 8.9.2-es verzióban, amelyet egy hónapon belül várunk, további digitális aláírás-ellenőrzés kerül bevezetésre az XML-manifesztushoz (XMLDSig), amelyet a frissítések kiszolgálója ad vissza.
Forrás: opennet.ru
