Хакери са разпространявали вируси чрез популярния текстов редактор Notepad++ в продължение на 6 месеца

През втората половина на миналата година киберпрестъпници са хакнали сървъра, на който се намира уебсайтът на популярния текстов редактор с отворен код Notepad++ и са разпространили зловредни актуализации сред потребителите на програмата.

Според разработчиците на Notepad++, хакерите са свързани с китайските власти и са поддържали достъп до ресурсите на проекта от юни до декември 2025 година. Това „може да обясни избирателния подход към атаките срещу жертвите“. Експертите по киберсигурност от Rapid7 приписват хакерската атака на групата Lotus Blossom. Жертвите включват организации от правителствения сектор, телекомуникациите, авиацията, критичната инфраструктура и медиите.

Notepad++ е стар и популярен проект с отворен код с десетки милиони изтегляния и световна потребителска база от физически лица и организации. При кибератаката хакерите са компрометирали редица организации „с интереси в Източна Азия“ – достатъчно е било несъзнателно да се стартира една-единствена заразена инстанция на софтуера, заяви експертът по киберсигурност Кевин Бумонт, който пръв откри пробива. Хакерите изглежда са имали „пряк“ достъп до компютрите на жертвите, които са използвали компрометирани версии на Notepad++.

„Точният технически механизъм“ на хакване на сървърите на проекта остава неизвестен, заявиха разработчиците – разследването на инцидента продължава.

Сайтът на Notepad++ е бил хостван на сървър заедно с други проекти. Нападателите са се „насочили“ към домейна, свързан с програмата, използвали са уязвимости в софтуера на сървъра и са насочили някои потребители към собствения си сървър. Това е позволило на хакерите да разпространяват зловредни версии на Notepad++. Уязвимостта беше отстранена през ноември, но хакерите бяха лишени от достъп до сървъра едва в началото на декември. Те се опитали да си възвърнат достъпа, но уязвимостта вече била затворена и опитът бил неуспешен.

Хостинг доставчикът потвърди, че сървърът е бил компрометиран, но не уточни как точно хакерите са проникнали в системата. Разработчиците се извиниха за инцидента и призоваха потребителите да изтеглят нова версия на Notepad++, която е затворила последните уязвимости.

Потребителите на Notepad++ трябва да се уверят, че са инсталирали най-новата версия на програмата, в която са отстранени всички. Тя е налична директно на уебсайта на Notepad++ или в Kaldata. Освен това Бумонт съветва потребителите да проверят два пъти дали не използват неофициална версия на Notepad++, да следят отблизо активността на „gup.exe“, програмата за актуализиране на приложението и да проверят за подозрителен файл „update.exe“ или „AutoUpdater.exe“ в папката TEMP.