Notepad++ раздавал вредоносные обновления из-за взлома хостера

Разработчики Notepad++ опубликовали разбор атаки на цепочку поставок: злоумышленники взломали сервер shared-хостинга, на котором жил сайт проекта, получили доступ к внутреннему сервису провайдера и полгода выборочно перенаправляли запросы к скрипту обновлений на свои серверы. Пользователь запрашивал апдейт, а ему прилетал подменённый манифест с фиктивной версией и фейковыми метаданными для проверки целостности. Первые следы активности датированы июнем 2025-го, последние 10 ноября, но лазейка оставалась открытой до 2 декабря.

Уязвимость крылась в механизме верификации WinGUp, где проверялась цифровая подпись файла, но не сертификат. Атакующий, способный вклиниться в трафик, мог подсунуть свой бинарник с валидной (или вообще без) подписью. После обнаружения инцидента Notepad++ переехал к другому хостеру, а в версии 8.8.9 добавили обязательную проверку сертификатов. В грядущей 8.9.2 ещё и манифест будет подписываться XMLDSig.

Атакующие полгода сидели в инфраструктуре провайдера и точечно раздавали малварь. Если вы обновляли Notepad++ в этот период, самое время проверить хеши установленных файлов.

Linux / Линукс 🥸