Secuestro de actualizaciones de Notepad++: qué nos enseña esta filtración de seis meses sobre la confianza en los actualizadores

/Tecnología/ Por

Notepad++ afirma que su tráfico de actualizaciones fue interceptado durante meses en 2025, donde los atacantes interceptaron y redirigieron selectivamente a algunos usuarios a infraestructura maliciosa. BleepingComputer informa que la vulnerabilidad comenzó en junio de 2025 y finalizó el 2 de diciembre, después de que el proveedor de alojamiento detectara la brecha y cortara el acceso.

El incidente es un recordatorio útil de que la "descarga a través de HTTPS" no es un caso de seguridad completo. Los sistemas de actualización requieren una verificación sólida de extremo a extremo, ya que la infraestructura en la que confía puede ser la que se vea comprometida.

Lo que explotaron los atacantes

BleepingComputer describe una brecha en los controles de verificación de actualizaciones en versiones anteriores de Notepad++, lo que permite a los atacantes servir manifiestos de actualización manipulados y redirigir descargas.

Según se informa, la campaña fue estrecha y selectiva, acorde con un actor que se preocupa más por el acceso a objetivos específicos que por la distribución masiva.

La cronología importa:

  • Compromiso inicial en junio de 2025
  • Interrupción temporal a principios de septiembre después de las actualizaciones del kernel/firmware
  • Acceso continuo mediante credenciales internas robadas hasta el 2 de diciembre

Ese paso de “las credenciales sobrevivieron a la remediación” es una falla clásica en respuesta a incidentes: parchar el servidor no es suficiente si el atacante ya tiene claves.

Qué cambió Notepad++ después del incidente

BleepingComputer informa que Notepad++ migró clientes a un nuevo proveedor de alojamiento, rotó credenciales y mejoró la verificación.

A partir de la versión 8.8.9, WinGUP:

  • Verifica los certificados y firmas del instalador
  • Utiliza XML de actualización firmado criptográficamente

El proyecto también planea implementar la verificación obligatoria de la firma del certificado en la versión 8.9.2.

Esa progresión (controles opcionales → controles más estrictos → controles obligatorios) es exactamente cómo la distribución de software debería fortalecerse con el tiempo.

El ángulo del malware: Chrysalis y la atribución

BleepingComputer hace referencia a una investigación de Rapid7 que atribuye una campaña relacionada a un grupo APT chino conocido como Lotus Blossom (también descrito con otros alias) y una puerta trasera personalizada de Rapid7 llamada "Chrysalis".

En incidentes específicos de la cadena de suministro, la carga útil suele ser personalizada. Por eso, la defensa clave no es "detectar este malware exacto", sino "dificultar la entrega de cualquier carga útil no autorizada a través del actualizador".

Qué deberían hacer las organizaciones de manera diferente

Si administra software en un entorno empresarial, este incidente indica algunos errores defensivos:

  1. Evite las actualizaciones automáticas del consumidoren sistemas críticos siempre que sea posible.
  2. Utilice la distribución de software administrada(paquetes firmados en repositorios internos, Intune/SCCM, etc.).
  3. Pin y verificar firmaspara instaladores y actualizaciones.
  4. Monitorear las “rutas de actualización”como infraestructura crítica: DNS, políticas de inspección de TLS, comportamiento del proxy y cadenas de ejecución de puntos finales

Si eres un usuario individual, los pasos prácticos son más sencillos:

  • Actualice a una versión actual de Notepad++ desde el sitio oficial
  • Desconfíe de los mensajes de actualización que no se parecen al instalador normal.
  • Evite los anuncios de "descargar ahora" en los resultados de búsqueda que imitan páginas oficiales.

En resumen

El secuestro de actualizaciones de seis meses de Notepad++ no se debió a un solo error, sino a los límites de confianza. Si un atacante puede alterar el manifiesto o las comprobaciones de firma son débiles, las «actualizaciones» se convierten en ejecución remota de código por diseño. La solución es una verificación de extremo a extremo que no se puede eludir, incluso cuando el proveedor de alojamiento queda en manos de terceros

Fuentes

Document Title
Notepad++ update hijack: what the six-month breach teaches about updater trust
BleepingComputer reports Notepad++ update traffic was hijacked in 2025, with selective redirects to malicious servers and later attribution to a Chinese state-linked actor. Here’s what failed, what was fixed, and how orgs can harden software distribution.
Title Attribute
oEmbed (JSON)
oEmbed (XML)
JSON
View all posts by Admin
Microsoft says a Windows update bug can prevent shutdown—what’s affected and the workaround
The Arctic is getting louder and narwhals are getting quieter: why underwater noise matters
Page Content
Notepad++ update hijack: what the six-month breach teaches about updater trust
Nature
Climate
/
Technology
/ By
Admin
Notepad++ says its update traffic was hijacked for months in 2025, with attackers intercepting and selectively redirecting some users to malicious infrastructure. BleepingComputer reports the compromise began in June 2025 and ended on December 2, after the hosting provider detected the breach and cut off access.
The incident is a useful reminder that “download over HTTPS” is not a complete security story. Update systems need strong, end-to-end verification—because the infrastructure you trust can be the thing that gets compromised.
What the attackers exploited
BleepingComputer describes a gap in update verification controls in older Notepad++ versions, enabling attackers to serve tampered update manifests and redirect downloads.
The campaign was reportedly narrow and selective, consistent with an actor that cares more about access to specific targets than mass distribution.
The timeline matters:
Initial compromise in June 2025
Temporary disruption in early September after kernel/firmware updates
Continued access via stolen internal credentials until December 2
That “credentials survived remediation” step is a classic incident-response failure: patching the server isn’t enough if the attacker already has keys.
What Notepad++ changed after the incident
BleepingComputer reports Notepad++ migrated clients to a new hosting provider, rotated credentials, and improved verification.
Starting with version 8.8.9, WinGUP:
Verifies installer certificates and signatures
Uses cryptographically signed update XML
The project also plans to enforce mandatory certificate signature verification in version 8.9.2.
That progression—optional checks → stronger checks → mandatory checks—is exactly how software distribution should harden over time.
The malware angle: Chrysalis and attribution
BleepingComputer references Rapid7 research attributing a related campaign to a Chinese APT group known as Lotus Blossom (also described with other aliases) and a custom backdoor Rapid7 named “Chrysalis.”
In targeted supply-chain incidents, the payload is often bespoke. That’s why the key defense is not “detect this exact malware,” but “make it hard to deliver any unauthorized payload through the updater.”
What organizations should do differently
If you manage software in an enterprise environment, this incident points to a few defensive defaults:
Avoid consumer auto-updaters
on critical systems where possible.
Use managed software distribution
(signed packages in internal repos, Intune/SCCM, etc.).
Pin and verify signatures
for installers and updates.
Monitor “update paths”
as critical infrastructure: DNS, TLS inspection policies, proxy behavior, and endpoint execution chains.
If you’re an individual user, the practical steps are simpler:
Update to a current Notepad++ version from the official site
Be suspicious of update prompts that don’t look like the normal installer
Avoid “download now” ads in search results that mimic official pages
Bottom line
Notepad++’s six-month update hijack wasn’t about a single bug—it was about trust boundaries. If an attacker can alter the manifest or the signature checks are weak, “updates” become remote code execution by design. The fix is end-to-end verification you can’t bypass, even when the hosting provider gets owned.
Sources
https://www.bleepingcomputer.com/news/security/notepad-plus-plus-update-feature-hijacked-by-chinese-state-hackers-for-months/
https://notepad-plus-plus.org/news/hijacked-incident-info-update/
https://www.rapid7.com/blog/post/tr-chrysalis-backdoor-dive-into-lotus-blossoms-toolkit/
←
Previous Post
Next Post
→
oEmbed (JSON)
oEmbed (XML)
JSON
View all posts by Admin
Microsoft says a Windows update bug can prevent shutdown—what’s affected and the workaround
The Arctic is getting louder and narwhals are getting quieter: why underwater noise matters
BleepingComputer reports Notepad++ update traffic was hijacked in 2025, with selective redirects to malicious servers and later attribution to a Chinese state-linked actor. Here’s what failed, what was fixed, and how orgs can harden software distribution.
Document Title
Page not found - Florin.blog
Image Alt
Florin.blog
Title Attribute
Florin.blog » Feed
RSD
Skip to content
Placeholder Attribute
Search...
Page Content
Page not found - Florin.blog
Skip to content
Home
Blog
Garden Decor
Indoor
Main Menu
This page doesn't seem to exist.
It looks like the link pointing here was faulty. Maybe try searching?
Search for:
Search
Quick Links
Outdoors
About
Contact
Explore
Bestsellers
Hot deals
Best of The Year
Featured
Gift Cards
Help
Privacy Policy
Disclaimer
: As an Amazon Associate, we earn from qualifying purchases — at no extra cost to you.
Florin.blog
Florin.blog » Feed
RSD
Search...
s Español