Únos aktualizací Notepad++: co šestiměsíční narušení učí o důvěře v aktualizační programy

Notepad++ uvádí, že jeho aktualizační provoz byl v roce 2025 několik měsíců zneužíván, přičemž útočníci zachycovali a selektivně přesměrovávali některé uživatele na škodlivou infrastrukturu. BleepingComputer uvádí, že kompromitace začala v červnu 2025 a skončila 2. prosince poté, co poskytovatel hostingu zjistil narušení a zablokoval přístup.

Tento incident je užitečnou připomínkou toho, že „stahování přes HTTPS“ není kompletní bezpečnostní problém. Aktualizační systémy vyžadují silné ověření od začátku do konce – protože infrastruktura, které důvěřujete, může být tou, která bude ohrožena.

Čeho útočníci zneužili

BleepingComputer popisuje mezeru v ovládacích prvcích ověřování aktualizací ve starších verzích Notepadu++, která útočníkům umožňuje zobrazovat pozměněné manifesty aktualizací a přesměrovávat stahování.

Kampaň byla údajně úzká a selektivní, což odpovídá aktérovi, kterému více záleží na přístupu ke konkrétním cílům než na masové distribuci.

Na časové ose záleží:

• Počáteční kompromis v červnu 2025
• Dočasné přerušení na začátku září po aktualizacích jádra/firmwaru
• Pokračující přístup prostřednictvím odcizených interních přihlašovacích údajů do 2. prosince

Krok „přihlašovací údaje přežily nápravu“ je klasickým selháním reakce na incident: záplatování serveru nestačí, pokud útočník již má klíče.

Co se změnilo v Notepad++ po incidentu

BleepingComputer uvádí, že Notepad++ migroval klienty k novému poskytovateli hostingu, rotoval přihlašovací údaje a vylepšil ověřování.

Počínaje verzí 8.8.9, WinGUP:

• Ověřuje certifikáty a podpisy instalačního programu
• Používá kryptograficky podepsaný aktualizační XML

Projekt také plánuje ve verzi 8.9.2 vynutit povinné ověřování podpisu certifikátu.

Tato progrese – volitelné kontroly → přísnější kontroly → povinné kontroly – přesně odpovídá tomu, jak by se měla distribuce softwaru v průběhu času zpřísňovat.

Úhel pohledu malwaru: Chrysalis a atribuce

BleepingComputer odkazuje na výzkum Rapid7, který připisuje související kampaň čínské APT skupině známé jako Lotus Blossom (popisované i pod jinými aliasy) a vlastnímu backdooru Rapid7 s názvem „Chrysalis“.

V cílených incidentech v dodavatelském řetězci je datová zátěž často tvořena na míru. Proto klíčovou obranou není „detekce přesně tohoto malwaru“, ale „ztížení doručení jakékoli neoprávněné datové zátěže prostřednictvím aktualizačního programu“.

Co by organizace měly dělat jinak

Pokud spravujete software v podnikovém prostředí, tento incident poukazuje na několik obranných selhání:

1. Vyhněte se automatickým aktualizacím pro spotřebitelena kritických systémech, kde je to možné.
2. Používejte spravovanou distribuci softwaru(podepsané balíčky v interních repozitářích, Intune/SCCM atd.).
3. Připnutí a ověření podpisůpro instalační programy a aktualizace.
4. Monitorování „cest aktualizací“jako kritická infrastruktura: DNS, zásady inspekce TLS, chování proxy serveru a řetězce provádění koncových bodů.

Pokud jste individuální uživatel, praktické kroky jsou jednodušší:

• Aktualizace na aktuální verzi Notepadu++ z oficiálních stránek
• Buďte podezřívaví k aktualizačním výzvám, které nevypadají jako běžný instalační program.
• Vyhněte se reklamám typu „Stáhnout nyní“ ve výsledcích vyhledávání, které napodobují oficiální stránky

Sečteno a podtrženo

Šestiměsíční útok na aktualizace Notepad++ se netýkal jediné chyby – šlo o hranice důvěryhodnosti. Pokud útočník dokáže změnit manifest nebo jsou kontroly podpisů slabé, „aktualizace“ se stávají záměrným nástrojem pro vzdálené spuštění kódu. Opravou je end-to-end ověřování, které nelze obejít, a to ani v případě, že se poskytovatel hostingu stane vlastníkem.

---

Zdroje

• https://www.bleepingcomputer.com/news/security/notepad-plus-plus-update-feature-hijacked-by-chinese-state-hackers-for-months/
• https://notepad-plus-plus.org/news/hijacked-incident-info-update/
• https://www.rapid7.com/blog/post/tr-chrysalis-backdoor-dive-into-lotus-blossoms-toolkit/