Os desenvolvedores do Notepad++, um editor de código aberto para a plataforma Windows, publicaram uma análise do incidente em que a infraestrutura de rede do provedor foi comprometida e alguns usuários do Notepad++ receberam arquivos executáveis falsificados, baixados através do sistema de entrega automática de atualizações WinGUp.
O ataque foi realizado por meio de redirecionamento seletivo do tráfego entre o usuário e o servidor de download de atualizações. A falsificação foi possível devido a uma vulnerabilidade no mecanismo de verificação e integridade da atualização baixada. O invasor, capaz de se infiltrarse no tráfego em trânsito, poderia substituir o manifesto da atualização e iniciar a solicitação de download de sua atualização falsa e dos metadados associados para verificação de integridade.
Uma análise adicional mostrou que o ataque foi implementado em nível de infraestrutura provedor de hospedagem, o que permitiu que os criminosos interceptassem e redirecionassem o tráfego destinado ao domínio notepad-plus-plus.org. O redirecionamento foi feito seletivamente apenas para determinados usuários, que recebiam um manifesto falsificado com informações sobre atualizações. As primeiras evidências da atividade dos atacantes datam de junho de 2025, e as mais recentes de 10 de novembro, mas a possibilidade de ataque persistiu até 2 de dezembro.
De acordo com as informações fornecidas pelo provedor, o ataque foi possibilitado pelo comprometimento de um servidor de hospedagem compartilhada, onde o site notepad-plus-plus.org estava hospedado. Em 2 de setembro, após uma atualização de software, a brecha foi corrigida, mas os atacantes já haviam obtido credenciais para se conectar a um dos serviços internos, permitindo que redirecionassem solicitações ao script "https://notepad-plus-plus.org/getDownloadUrl.php" até 2 de dezembro. servidores. Em 2 de dezembro, a falsificação das atualizações foi detectada e o provedor bloqueou o acesso dos atacantes. Após o incidente, o site do Notepad++ foi transferido para outro provedor de hospedagem, mais atento à segurança.
Na versão 8.8.9 do Notepad++, foram adicionadas verificações obrigatórias não apenas para assinaturas digitais, mas também para certificados dos arquivos a serem baixados, a fim de bloquear a substituição de atualizações, tanto no Notepad++ quanto no WinGUp. Na aguardada versão 8.9.2, que será lançada em um mês, será adicionada a verificação de assinatura digital para o manifesto XML (XMLDSig) retornado pelo servidor de entrega de atualizações.
Fonte: opennet.ru
