Notepad++ opublikował wersję 8.8.9, która usuwa krytyczną lukę w zabezpieczeniach narzędzia aktualizacji WinGUp (GUP.exe), po doniesieniach, że zamiast legalnych pakietów aktualizacji pobierane były złośliwe pliki wykonywalne.
Problem wyszedł na jaw, gdy użytkownicy zaobserwowali, że program aktualizujący uruchamia nieznany plik wykonywalny (AutoUpdater.exe), który przeprowadzał rozpoznanie systemu i wykradał dane do zewnętrznej usługi udostępniania plików, powszechnie wykorzystywanej w kampaniach malware.
Choć nadal nie wiadomo, czy przyczyną było:
- przechwycenie ruchu sieciowego,
- malvertising prowadzący do fałszywych instalatorów, czy
- ukierunkowany atak na łańcuch dostaw,
badacze bezpieczeństwa potwierdzili aktywność aktora zagrożeń typu hands-on-keyboard w zainfekowanych środowiskach.
Co się zmieniło w Notepad++ 8.8.9
- Aktualizacje są teraz weryfikowane za pomocą certyfikatu podpisywania kodu programisty
- Każdy instalator, który nie przejdzie walidacji podpisu, jest blokowany
- Źródła aktualizacji ograniczono do oficjalnych pobrań z GitHub
„Jeśli weryfikacja się nie powiedzie, aktualizacja zostanie przerwana”. — komunikat bezpieczeństwa Notepad++
Dlaczego to ważne
Ten incydent pokazuje, jak mechanizmy aktualizacji oprogramowania mogą zostać wykorzystane jako początkowy wektor dostępu, nawet w przypadku zaufanych i powszechnie używanych narzędzi.
Zalecane działania
✔ Zaktualizuj Notepad++ do wersji 8.8.9 natychmiast
✔ Usuń wszystkie niestandardowe certyfikaty główne zainstalowane wcześniej
✔ Unikaj pobierania instalatorów z nieoficjalnych źródeł
✔ Monitoruj punkty końcowe pod kątem nietypowych procesów potomnych lub ruchu wychodzącego
Bezpieczeństwo łańcucha dostaw i integralność aktualizacji mają znaczenie — nawet w przypadku codziennych narzędzi programistycznych.
