Всем привет! 💻✌️

Продолжим рассматривать уязвимости, связанные с загрузкой dll

Notepad++ уязвим к DLL hijacking, на GitHub представили poc CVE-2025-56383

🔭Обнаружение:

🔤 Можем отслеживать создание DLL - NppConverter.dll, без EXE - notepad++.exe

🔤 Можем отслеживать загрузку в память библиотеки без подписи

ProviderName="Microsoft-Windows-Sysmon" and EventId=7 
and Image endswith "notepad++.exe"
and ImageLoaded endswith "NppExport.dll" 
and SignatureStatus != "Valid" 
and Signature != "Notepad++"

#detection@detectioneasy
#ttp@detectioneasy