Notepad++ пережил выборочную supply chain атаку на обновления. По разбору автора проекта, кампания длилась с июня по декабрь 2025: злоумышленники не ломали сам редактор, они скомпрометировали хостинг, где лежал notepad-plus-plus.org, и для части пользователей перехватывали запросы обновления, перенаправляя их на свои серверы с зараженными сборками.

2 сентября 2025 провайдер обновил ядро и прошивку, и атакующие потеряли прямой доступ к серверу, но продолжили операцию за счет украденных учетных данных внутренних сервисов. Окончательно историю остановили 2 декабря 2025, когда провайдер сменил все учетные данные и перенес клиентов на новый сервер. Провайдер отдельно отмечал, что домен Notepad++ искали целенаправленно, другие сайты на том же сервере не трогали. Независимые исследователи связывают атаку с китайской группой, поддерживаемой государством.

В версии 8.8.9 модуль обновления WinGup получил проверку цифровой подписи и сертификата загружаемых файлов, плюс подписываются XML-ответы сервера обновлений (XMLDSig). В версии 8.9.2 проверка подписи станет обязательной, без нее обновление не установится.

P/S Автору будет приятно если вы накидаете 🔥

Hacker's TOYS