Специалисты по кибербезопасности из Palo Alto Networks Unit 42 раскрыли детали масштабной целенаправленной кампании, в ходе которой угрозам удалось скомпрометировать инфраструктуру обновлений популярного текстового редактора Notepad++. Атака, проводившаяся с июня по декабрь 2025 года, позволила хакерам из группы с признаками государственного спонсорства, известной как Lotus Blossom, избирательно заражать компьютеры системных администраторов и разработчиков по всему миру, используя механизм обновления программы в качестве вектора атаки.
Описание
Исследователи установили, что злоумышленники взломали среду общего хостинг-провайдера, на котором размещался официальный сайт Notepad++. Это позволило им перехватывать и перенаправлять трафик, предназначенный для сервера обновлений проекта. Таким образом, атакующие получили возможность на уровне инфраструктуры подменять легитимные манифесты обновлений на вредоносные, доставляя их только выбранным жертвам. Изначально целевыми были организации в Юго-Восточной Азии, включая правительственные структуры, телекоммуникационные компании и объекты критической инфраструктуры. Однако позже выяснилось, что кампания затронула также сектора энергетики, финансов, облачного хостинга, производства и разработки программного обеспечения в Южной Америке, США и Европе.
Notepad++ является широко распространенным инструментом среди ИТ-специалистов. Системные администраторы, сетевые инженеры и сотрудники DevOps часто используют его для редактирования конфигураций, анализа объемных логов и проверки кода на защищенных jump-box серверах. Следовательно, компрометация этого, казалось бы, простого инструмента открывает злоумышленникам прямой путь к сессиям наиболее привилегированных пользователей в организации, фактически давая им административный доступ к ключевой сетевой инфраструктуре в обход периметровых защитных систем.
Технический анализ атаки показал, что она относится к классу атак на цепочку поставок (supply chain). Группа Lotus Blossom воспользовалась недостатками проверки в старых версиях встроенного обновляющего приложения Notepad++ - WinGup. Когда целевая жертва пыталась обновить редактор, ее трафик перенаправлялся на контролируемый злоумышленниками сервер. В результате вместо легитимного установщика загружался вредоносный NSIS-инсталлятор, часто маскирующийся под файл "update.exe". Этот файл запускал одну из двух сложных цепочек заражения.
Первая цепочка использовала технику DLL side-loading (подмены библиотек). Вредоносное ПО злоупотребляло легитимным компонентом антивируса Bitdefender ("BluetoothService.exe"), заставляя его загружать вредоносную библиотеку "log.dll". Эта библиотека, в свою очередь, расшифровывала и исполняла на системе кастомный бэкдор под названием Chrysalis. Вторая цепочка также использовала NSIS-инсталлятор, но для выполнения команды, запускающей вредоносный Lua-скрипт. Этот скрипт загружал в память известный фреймворк для пентеста и кибератак Cobalt Strike Beacon.
Бэкдор Chrysalis отличается продвинутыми техниками уклонения от обнаружения. В частности, он использует фреймворк защиты кода Microsoft Warbird и кастомное хеширование вызовов API для снижения вероятности срабатывания антивирусных сигнатур. Основная его функция - установление постоянного (persistence) удаленного контроля над зараженной системой. Исследователи наблюдали активность, связанную с этим вредоносным ПО, с середины августа по ноябрь 2025 года, включая коммуникацию с командными серверами (C2) по IP-адресам 45.76.155[.]202 и 45.77.31[.]210.
В ответ на инцидент разработчики Notepad++ предприняли ряд мер. Они мигрировали сайт проекта на нового хостинг-провайдера с более строгими практиками безопасности. Кроме того, в обновлении WinGup, начиная с версии 8.8.9, была усилена проверка сертификата и цифровой подписи загружаемого установщика. Теперь XML-ответ от сервера обновлений также подписывается (XMLDSig). Принудительная проверка сертификата и подписи станет обязательной в предстоящей версии 8.9.2. Пока же пользователям настоятельно рекомендуется вручную загрузить и установить версию 8.9.1 редактора, которая содержит соответствующие улучшения безопасности.
Эксперты Unit 42 отмечают, что данная кампания демонстрирует эволюцию тактик продвинутых угроз (APT). В отличие от групп, таких как Volt Typhoon, которые фокусируются на компрометации сетевого оборудования и использовании living-off-the-land техник, Lotus Blossom выбрала стратегию «мягкого» вмешательства в цепочку поставок. Перехват трафика доверенной утилиты, а не внедрение кода в сам процесс сборки ПО, позволил им оставаться незамеченными для вендора. Такая возможность атаки «злоумышленник-в-середине» (AitM) позволила динамически отпечатывать входящие запросы на обновление и фильтровать только приоритетные цели. Основная цель кампании - не разрушение, а долгосрочный сбор ценной разведывательной информации, что подчеркивается избирательным выбором жертв и применением малозаметного бэкдора.
