Notepad++ informou que hackers apoiados por um Estado chin\u00eas invadiram a infraestrutura de atualiza\u00e7\u00e3o do projeto para entregar uma vers\u00e3o adulterada do editor de c\u00f3digo e bloco de notas para Windows. O ataque come\u00e7ou em junho, com uma intrus\u00e3o que permitiu interceptar e redirecionar o tr\u00e1fego de atualiza\u00e7\u00e3o destinado ao site notepad-plus-plus.org. A equipe s\u00f3 retomou o controle em dezembro.<\/p>\n
A campanha utilizou o acesso comprometido para instalar uma backdoor in\u00e9dita, chamada Chrysalis, descrita pela Rapid7 como uma ferramenta sob medida, com v\u00e1rias fun\u00e7\u00f5es. Pesquisadores da empresa destacaram que a amea\u00e7a \u00e9 sofisticada e pode representar um recurso permanente, n\u00e3o apenas utilit\u00e1rio tempor\u00e1rio.<\/p>\n
Segundo Notepad++, a infraestrutura de hospedagem analisada com assistentes de resposta a incidentes permaneceu comprometida at\u00e9 2 de setembro. Mesmo ap\u00f3s essa data, credenciais internas permaneceram ativas at\u00e9 2 de dezembro, permitindo que parte do tr\u00e1fego de atualiza\u00e7\u00e3o fosse redirecionado para servidores maliciosos. O objetivo era explorar falhas de verifica\u00e7\u00e3o de atualiza\u00e7\u00e3o em vers\u00f5es antigas.<\/p>\n
Pesquisadores independentes relataram incidentes em redes de tr\u00eas organiza\u00e7\u00f5es cujos dispositivos com Notepad++ foram afetados, com relatos de controle direto por meio de interfaces web. As organiza\u00e7\u00f5es teriam interesses na regi\u00e3o East Asia, segundo Kevin Beaumont.<\/p>\n
Beaumont apontou que a vers\u00e3o 8.8.8, lan\u00e7ada em novembro, inclu\u00eda corre\u00e7\u00f5es para dificultar o hijacking do updater. O problema envolve o updater pr\u00f3prio do Notepad++, conhecido como GUP ou WinGUP, que verifica e baixa atualiza\u00e7\u00f5es. T\u00e9cnicos alertam que tr\u00e1fego de atualiza\u00e7\u00e3o pode n\u00e3o ser totalmente verificado.<\/p>\n
O relato tamb\u00e9m indica que, apesar de as atualiza\u00e7\u00f5es serem assinadas, vers\u00f5es anteriores utilizavam certificados raiz autoassinados, o que fragiliza a checagem. A recomenda\u00e7\u00e3o \u00e9 confirmar a vers\u00e3o instalada, mantendo-a na 8.8.8 ou superior, com orienta\u00e7\u00e3o de que 8.9.1 ou superior seja adotada.<\/p>\n
Especialistas sugerem que grandes organiza\u00e7\u00f5es bloqueiem o dom\u00ednio notepad-plus-plus.org ou isolem o processo gup.exe da internet, al\u00e9m de restringir acesso \u00e0 notepad++.exe caso haja monitoramento robusto de extens\u00f5es. Para usu\u00e1rios, a orienta\u00e7\u00e3o \u00e9 verificar que a vers\u00e3o oficial esteja instalada diretamente pelo site do projeto.<\/p>\n
Quem busca verificar se houve alvo espec\u00edfico pode consultar os indicadores de comprometimento associados ao relato da Rapid7. Notepad++ permanece como alternativa popular ao editor padr\u00e3o do Windows, diante do cen\u00e1rio de atualiza\u00e7\u00f5es comprometidas e da evolu\u00e7\u00e3o de medidas de seguran\u00e7a em software de c\u00f3digo aberto.<\/p>\n
Este texto foi baseado em reportagens de Ars Technica e an\u00e1lises da Rapid7 sobre o incidente.<\/p>\n","protected":false},"excerpt":{"rendered":"