Popularny edytor tekstu Notepad++ znalazł się w centrum jednego z najpoważniejszych incydentów bezpieczeństwa ostatnich lat. Nowe ustalenia potwierdzają, że przez wiele miesięcy część użytkowników mogła nieświadomie pobierać złośliwe aktualizacje, a śledztwo prowadzi wprost do chińskiej, sponsorowanej przez państwo grupy hakerskiej. Co szczególnie niepokojące, atak nie polegał na wykorzystaniu błędu w samym kodzie Notepad++, lecz na przejęciu infrastruktury, z której korzystał projekt.
Notepad++ zhakowany na poziomie hostingu
Z opublikowanych informacji wynika, że napastnicy uzyskali dostęp do współdzielonego serwera hostingowego Notepad++, obsługującego domenę notepad-plus-plus.org. Dzięki temu mogli przechwytywać i selektywnie przekierowywać ruch aktualizacyjny wybranych użytkowników na własne, złośliwe serwery. W praktyce oznaczało to, że część osób pobierała podmienione manifesty aktualizacji, użytkownik nie widział niczego podejrzanego, a instalator pochodził z infrastruktury kontrolowanej przez atakujących.
Eksperci podkreślają, że nie była to masowa kampania. Atak był precyzyjny, wybiórczy i skierowany do konkretnych celów. To jeden z charakterystycznych elementów działań grup powiązanych z państwami.
Ślady prowadzą do Chin. Atak trwał miesiącami
Według niezależnych badaczy bezpieczeństwa, za incydentem najprawdopodobniej stała chińska grupa sponsorowana przez państwo. Tłumaczy to zarówno długotrwałość operacji, jak i jej selektywny charakter. Twórcy Notepad++ mogli zajść za skórę Chinom między innymi swoim podejściem do kwestii Hong Kongu, Tajwanu i Ujgurów.
Pierwsze symptomy ataku na Notepad++ pojawiły się już w czerwcu 2025 roku. Choć dostęp do samego serwera zablokowano we wrześniu, napastnicy zachowali ważne dane uwierzytelniające, które pozwalały im nadal manipulować ruchem aż do grudnia 2025 roku. Dopiero pełna rotacja kluczy, aktualizacja kernela oraz migracja na nową infrastrukturę definitywnie zakończyły incydent.
Co atak oznacza dla użytkowników Notepad++?
Najważniejsza informacja: autorzy projektu zareagowali, a luka została zamknięta. W wersji Notepad++ 8.8.9 wprowadzono istotne zmiany w mechanizmie aktualizacji, a najnowsza obecnie wersja to 8.9.1. Pojawiła się weryfikacja certyfikatu i podpisu instalatora oraz podpisywanie odpowiedzi serwera aktualizacji (XMLDSig). W nadchodzącej wersji 8.9.2 pojawi się też twarde wymuszanie weryfikacji.
Twórca Notepad++ wprost przeprosił użytkowników i zalecił ręczną instalację najnowszej wersji, zamiast polegania na starszym mechanizmie autoaktualizacji.
Jeśli używasz Notepad++, zrób to teraz
Jeżeli korzystasz z Notepad++ i nie aktualizowałeś go od dłuższego czasu, pobierz wersję 8.9.1 lub nowszą z oficjalnej strony, a następnie zainstaluj ją ręcznie. Nie korzystaj z żadnych plików instalacyjnych pobranych wcześniej.
Choć incydent opanowano, to jest to kolejny sygnał ostrzegawczy: nawet zaufane, open source’owe narzędzia mogą stać się celem zaawansowanych operacji szpiegowskich, jeśli zawiedzie infrastruktura.
Źródło: Instalki.pl via NotePad++