„Notepad++“ atnaujinimo užgrobimas: ko šešių mėnesių pažeidimas moko apie atnaujinimų pasitikėjimą

„Notepad++“ teigia, kad 2025 m. kelis mėnesius buvo užgrobtas jos atnaujinimų srautas, užpuolikai perėmė duomenis ir selektyviai nukreipė kai kuriuos vartotojus į kenkėjišką infrastruktūrą. „BleepingComputer“ praneša, kad įsilaužimas prasidėjo 2025 m. birželį ir baigėsi gruodžio 2 d., kai prieglobos paslaugų teikėjas aptiko pažeidimą ir nutraukė prieigą.

Šis incidentas yra naudingas priminimas, kad „atsisiuntimas per HTTPS“ nėra išsami saugumo istorija. Atnaujinimų sistemoms reikalingas stiprus, visapusiškas patikrinimas, nes infrastruktūra, kuria pasitikite, gali būti pažeista.

Kuo pasinaudojo užpuolikai

„BleepingComputer“ aprašo senesnių „Notepad++“ versijų atnaujinimų tikrinimo valdiklių spragą, leidžiančią užpuolikams pateikti suklastotus atnaujinimų aprašus ir peradresuoti atsisiuntimus.

Pranešama, kad kampanija buvo siaura ir selektyvi, atitinkanti veikėjo, kuriam labiau rūpi prieiga prie konkrečių taikinių, o ne masinis platinimas, elgesį.

Laiko juosta svarbi:

• Pradinis kompromisas 2025 m. birželio mėn.
• Laikini sutrikimai rugsėjo pradžioje po branduolio / programinės įrangos atnaujinimų
• Prieiga per pavogtus vidinius prisijungimo duomenis tęsiama iki gruodžio 2 d.

Tas žingsnis „įgaliojimai išliko po taisymo“ yra klasikinė incidento reagavimo klaida: serverio pataisymo nepakanka, jei užpuolikas jau turi raktus.

Ką „Notepad++“ pakeitė po incidento

„BleepingComputer“ praneša, kad „Notepad++“ perkėlė klientus pas naują prieglobos paslaugų teikėją, pakeitė prisijungimo duomenis ir patobulino patvirtinimą.

Nuo 8.8.9 versijos, „WinGUP“:

• Tikrina montuotojo sertifikatus ir parašus
• Naudoja kriptografiškai pasirašytą atnaujinimo XML

Projekte taip pat planuojama 8.9.2 versijoje įdiegti privalomą sertifikatų parašų tikrinimą.

Toks progresavimas – pasirenkami patikrinimai → griežtesni patikrinimai → privalomi patikrinimai – yra būtent tai, kaip programinės įrangos platinimas turėtų laikui bėgant griežtėti.

Kenkėjiškos programinės įrangos aspektas: Chrysalis ir priskyrimas

„BleepingComputer“ remiasi „Rapid7“ tyrimais, kuriuose susijusi kampanija priskiriama Kinijos APT grupei, žinomai kaip „Lotus Blossom“ (taip pat aprašytai su kitais slapyvardžiais), ir specialiai sukurtai „Rapid7“ galinių durų sistemai, pavadintai „Chrysalis“.

Tiksliniuose tiekimo grandinės incidentuose kenkėjiška programinė įranga dažnai būna pritaikyta pagal individualius poreikius. Todėl pagrindinė gynybos priemonė yra ne „aptikti būtent šią kenkėjišką programinę įrangą“, o „apsunkinti bet kokio neleistino turinio pateikimą per atnaujinimo programą“.

Ką organizacijos turėtų daryti kitaip

Jei tvarkote programinę įrangą įmonės aplinkoje, šis incidentas rodo keletą gynybinių trūkumų:

1. Venkite vartotojams skirtų automatinių atnaujinimųkritinėse sistemose, kai įmanoma.
2. Naudokite valdomą programinės įrangos platinimą(pasirašyti paketai vidinėse saugyklose, „Intune“ / SCCM ir kt.).
3. Prisegti ir patikrinti parašusdiegėjams ir atnaujinimams.
4. Stebėti „atnaujinimo kelius“kaip kritinė infrastruktūra: DNS, TLS tikrinimo politikos, tarpinio serverio elgsena ir galinių taškų vykdymo grandinės.

Jei esate individualus vartotojas, praktiniai veiksmai yra paprastesni:

• Atnaujinkite į naujausią „Notepad++“ versiją iš oficialios svetainės
• Įtarkite atnaujinimo raginimus, kurie neatrodo kaip įprastas diegimo programa
• Paieškos rezultatuose venkite skelbimų „atsisiųsti dabar“, kurie imituoja oficialius puslapius

Esmė

Šešis mėnesius trukęs „Notepad++“ atnaujinimų užgrobimas nebuvo susijęs su viena klaida – tai buvo susiję su pasitikėjimo ribomis. Jei užpuolikas gali pakeisti manifestą arba parašo patikrinimai yra silpni, „atnaujinimai“ pagal paskirtį tampa nuotoliniu kodo vykdymu. Pataisymas – visapusiškas patvirtinimas, kurio negalima apeiti, net kai prieglobos paslaugų teikėjas tampa savininku.

---

Šaltiniai

• https://www.bleepingcomputer.com/news/security/notepad-plus-plus-update-feature-hijacked-by-chinese-state-hackers-for-months/
• https://notepad-plus-plus.org/news/hijacked-incident-info-update/
• https://www.rapid7.com/blog/post/tr-chrysalis-backdoor-dive-into-lotus-blossoms-toolkit/