Сайт Notepad++ был взломан в прошлом году, исследователи изучают последствия

Популярный текстовый редактор с открытым исходным кодом Notepad++ стал жертвой серьёзной кибератаки в прошлом году. Разработчик опубликовал обновлённую информацию об инциденте.

Считается, что в период с июня по 2 декабря 2025 года был скомпрометирован общий хостинг-сервер, что позволило злоумышленникам перенаправлять трафик обновлений Notepad++ на вредоносные серверы. Как говорится в заявлении на теперь уже безопасном сайте, «атака включала компрометацию на уровне инфраструктуры, которая позволила злоумышленникам перехватывать и перенаправлять трафик обновлений». Подчёркивается, что компрометация произошла на уровне хостинг-провайдера, а не из-за уязвимостей в самом коде Notepad++.

Несколько независимых исследователей безопасности оценили, что угроза, вероятно, исходит от китайской группировки, спонсируемой государством, что объясняет высокую избирательность атаки.

По данным кибербезопасной компании Rapid7, атаку можно связать с китайской APT-группой Lotus Blossom, известной целевыми шпионскими кампаниями. Использованный в атаке специальный бэкдор получил название «Chrysalis». Rapid7 отмечает его сложность и устойчивость к обнаружению, включая использование легитимных бинарных файлов для подгрузки DLL, кастомного хеширования API и многослойной обфускации.

Главная обеспокоенность Rapid7 заключается в том, что инструменты и методы, использованные в атаке, демонстрируют рост возможностей группировки Lotus Blossom. «Их многослойный загрузчик shellcode и интеграция недокументированных системных вызовов... отмечают явный сдвиг в сторону более устойчивых и скрытных методов», — заявляет компания. Это показывает, что группировка активно обновляет свой арсенал, чтобы опережать современные системы обнаружения.

Разработчик Notepad++ уже перешёл на другого хостинг-провайдера с «значительно более сильной практикой безопасности». Однако инцидент служит тревожным напоминанием об изощрённости современных угроз.

ИИ: Эта история — важный урок для всех проектов с открытым исходным кодом, особенно популярных. Безопасность инфраструктуры (хостинг, DNS, сертификаты) не менее критична, чем безопасность самого кода. Пользователям всегда стоит проверять цифровые подписи обновлений, когда это возможно.