Vývojári Notepad++, open-source kódu pre platformu Windows, zverejnili analýzu incidentu, v dôsledku ktorého bola skompromitovaná sieťová infraštruktúra poskytovateľa a niektorí používatelia Notepad++ dostali pozmenené spustiteľné súbory, ktoré sa stiahli pomocou systému automatickej dodávky aktualizácií WinGUp.
Útok bol vykonaný prostredníctvom selektívneho presmerovania prevádzky medzi používateľom a serverom na sťahovanie aktualizácií. Zmena bola možná kvôli zraniteľnosti v mechanizme overovania a kontroly integrity sťahovanej aktualizácie. Útočník, schopný zasahovať do tranzitnej prevádzky, mohol zmeniť manifest aktualizácie a iniciovať žiadosť o sťahovanie svojej falošnej aktualizácie a súvisiacich metadát na kontrolu integrity.
Ďalšia analýza ukázala, že útok bol implementovaný na úrovni infraštruktúry hostingového poskytovateľa, čo umožnilo útočníkom zachytávať a presmerovať prevádzku smerovanú na doménu notepad-plus-plus.org. Presmerovanie sa realizovalo selektívne len pre určité používateľov, ktorým bol poskytnutý pozmenený manifest s informáciami o aktualizáciách. Prvé stopy aktivity útočníkov sú datované k júniu 2025, zatiaľ čo posledné k 10. novembru, avšak možnosť vykonania útoku pretrvávala až do 2. decembra.
Podľa informácií poskytnutých poskytovateľom bola útok možný vďaka hacknutiu servera zdieľaného hostingu, na ktorom bol umiestnený web notepad-plus-plus.org. Dňa 2. septembra po aktualizácii softvéru bola diera zatvorená, ale útočníci predtým získali prístupové údaje pre pripojenie k jednému z vnútorných služieb, čo im umožnilo do 2. decembra presmerovávať požiadavky na skript "https://notepad-plus-plus.org/getDownloadUrl.php" na svoje servery. Dňa 2. decembra bola zmena aktualizácií zaznamenaná a poskytovateľ zablokoval prístup útočníkov. Po incidente bol web Notepad++ presunutý k inému poskytovateľovi hostingu, ktorý sa stará o bezpečnosť.
V novej verzii Notepad++ 8.8.9 boli pridané povinné kontroly nielen digitálnych podpisov, ale aj certifikátov pre sťahované súbory, aby sa zabránilo zámene aktualizácií v Notepad++ a WinGUp, a bola implementovaná blokácia aplikácie aktualizácie pri neúspešnej kontrole. V očakávanej verzii 8.9.2, ktorá vyjde v priebehu mesiaca, sa navyše pridá kontrola digitálneho podpisu pre XML manifest (XMLDSig), ktorý server aktualizácií vracia.
Zdroj: opennet.ru
