Хакеры полгода подменяли обновления Notepad++ как работала атака и чему она нас учит

Когда мы говорим о взломах популярных программ, большинство представляет себе поддельные сайты или фишинг писем. Но в 2025 году атакующие пошли другим путём и ударили по самому больному месту экосистемы Notepad++ — механизму обновлений, который пользователи привыкли считать безопасным по умолчанию. В течение примерно полугода часть аудитории вместо свежих версий любимого редактора получала тихо установленный бэкдор Chrysalis, а разработчики узнали об этом уже постфактум, после расследования инцидента с участием профильных компаний и хостинг‑провайдера.

Особенно тревожно, что это был не «массовый» спам‑зараза ради криптомайнера, а точечная операция уровня госактора, ориентированная на телеком, госструктуры и компании с интересами в Восточной Азии. Для обычного пользователя всё выглядело как стандартное обновление: WinGUP проверяет наличие новой версии, скачивает установщик — привычный сценарий, который никто не привык перепроверять. Именно на этом доверии и сыграла кибергруппа Lotus Blossom, связанная с Китаем по оценке исследователей.

💡 Хотите получать эксклюзивные IT-новости без рекламного мусора? Подписывайтесь на канал Железные новости — мы первыми рассказываем о важных изменениях в мире технологий.

Главная причина резонанса вокруг взлома Notepad++ — не масштаб заражений, а уровень доверия к самому продукту и каналу доставки обновлений. Редактор много лет считался «дефолтным» инструментом для разработчиков и администраторов Windows, а механизм автообновления воспринимался как рутинная часть жизненного цикла софта, которой можно безоговорочно доверять.

Когда же выяснилось, что почти полгода через официальный путь распространялся неизвестный ранее бэкдор Chrysalis, стало понятно, что речь идёт о полноценной supply chain‑операции: злоумышленники не ломали машины жертв напрямую, они компрометировали цепочку поставки обновлений. Это меняет правила игры для компаний, которые до сих пор считали, что «обновлять — всегда безопасно». Теперь даже обновление от любимого редактора может оказаться троянским конём, если его не сопровождают строгие криптографические проверки и сегментация инфраструктуры доставки.

Notepad++ использует отдельную утилиту WinGUP, которая периодически обращается к серверу проекта, чтобы проверить наличие новых версий редактора. Клиент запрашивает специальный XML‑файл с описанием актуального релиза, где указана версия и URL для скачивания инсталлятора. В нормальной ситуации WinGUP просто доверяет ответу сервера: если XML говорит, что новый релиз лежит по определённой ссылке, утилита скачивает файл и запускает установку, не проводя глубокую криптографическую валидацию контента.

До версии 8.8.8 механизм был ещё слабее: загрузка могла происходить не только с GitHub, а сама ссылка в XML не сопровождалась жёстко привязанной подписью и проверкой сертификата на стороне клиента. Более того, до версии 8.8.9 WinGUP вообще не проверял целостность и подлинность загруженного файла, что делало возможным подмену установщика на любом участке пути — от хостинга до сетевого трафика. В результате любая успешная компрометация инфраструктуры, через которую шёл XML или сам установщик, автоматически превращалась в механизм тихой доставки вредоносного ПО под видом легитимного апдейта.

Ключевой момент атаки — компрометация не самого репозитория исходников Notepad++, а хостинг‑провайдера, который обслуживал домен с API выдачи ссылок на обновления. Исследователи отмечают, что злоумышленники получили доступ к shared‑серверу, на котором находился скрипт getDownloadUrl.php, отвечающий за генерацию URL для загрузки инсталляторов. После взлома они смогли либо модифицировать логику этого скрипта, либо манипулировать сетевыми настройками и перенаправлением, чтобы подсовывать поддельные манифесты и ссылки только для выбранных запросов.

Хостер позже признал, что атакующие искали именно домен Notepad++, а не пытались массово атаковать всех клиентов площадки. Это говорит о заранее спланированной целевой операции: злоумышленники знали о слабостях проверки обновлений и готовили инфраструктуру для подмены ответов WinGUP. После изначального взлома, по данным расследования, прямой доступ к серверу закрыли в сентябре 2025 года, но у атакующих оставались украденные учётные данные к внутренним сервисам хостинга, которыми они пользовались до начала декабря.

С технической точки зрения атака была элегантна своей простотой. Клиент WinGUP отправлял запрос за XML‑манифестом, ожидая получить ссылку на следующий релиз Notepad++. Атакующие подменяли ответ сервера только для интересующих их целей, выдавая повреждённый XML, в котором URL указывал уже на их собственный сервер с вредоносным установщиком. Для пользователя всё выглядело абсолютно штатно: окно обновления, привычный инсталлятор, стандартный процесс установки без предупреждений со стороны самого редактора.

Отсутствие проверки подписи и сертификата на стороне WinGUP означало, что ни сам клиент, ни приложение не могли отличить легитимный бинарник от заражённого. Дополнительно атаку маскировало то, что подмена была избирательной: не все запросы видели злонамеренный XML, а только те, что соответствовали списку целевых IP‑адресов, диапазонов или других критериев, известных операторам Chrysalis. Именно поэтому многие пользователи никогда не столкнулись с проблемой, а инцидент долго оставался незамеченным и требовал глубокой сетевой и форенсик‑аналитики для выявления аномалий.

🔍 Больше подробных технических разборов и тестов вы найдете в канале Железные новости. Там мы публикуем результаты собственных исследований и инсайды от экспертов.

Lotus Blossom — это известная китайская кибергруппа, которую аналитики уже много лет связывают с операциями против азиатских правительственных и телеком‑структур. В контексте Notepad++ исследователи увидели характерные для этой группировки черты: прицельный выбор жертв, длительное скрытое присутствие в инфраструктуре и использование собственного бэкдора Chrysalis, ранее не описанного публично.

Данные телеметрии, сетевые артефакты и TTP (тактики, техники, процедуры) позволили отнести атаку к Lotus Blossom с высокой степенью уверенности, хотя разработчики редактора напрямую называть государство‑спонсора, как правило, избегают. Отдельные отчёты подчёркивают, что это не единичный эпизод: Lotus Blossom уже замечали в злоупотреблении доверенными каналами обновлений и инфраструктурой сторонних сервисов для проникновения в защищённые сегменты сетей. Атака на Notepad++ логично продолжает эту линию, демонстрируя смещение фокуса угроз от «очевидных» векторов к тонким компромиссам цепочек поставок софта.

Расследование показало, что злоумышленники не стремились заразить каждого пользователя Notepad++ — это был бы слишком шумный и быстро обнаруживаемый сценарий. Вместо этого Chrysalis доставляли только избранным целям, связанным с госструктурами, телеком‑операторами, авиацией, критической инфраструктурой и медиаорганизациями с фокусом на Восточной Азии. Такой подход снижает статистический «фон» инцидентов и усложняет обнаружение, но при этом приносит атакующим максимально ценную разведывательную информацию.

По сути, Notepad++ стал удобным «транспортом» в те сегменты сетей, где установлены строгие фильтры на сторонние приложения, но административные инструменты и популярный текстовый редактор считаются рабочим стандартом. Организации, не ограничивающие исходящий трафик и не ведшие детальный мониторинг обновлений, могли не заметить, что именно через этот канал произошло первое проникновение Chrysalis во внутренний контур. Это ещё раз подчёркивает: даже нишевые инструменты в цепочке разработки или сопровождения инфраструктуры могут стать входной точкой для атак класса APT.

По публичным данным, атака началась в июне 2025 года, когда злоумышленники впервые получили контроль над инфраструктурой хостинга, обслуживавшего домен обновлений Notepad++. В сентябре прямой доступ к серверу был заблокирован, однако украденные учётные данные к внутренним сервисам позволяли атакующим сохранять влияние на часть трафика. Хостер отмечал, что злоумышленники пытались повторно эксплуатировать уже закрытую уязвимость, что указывает на настойчивость и хорошие знания внутреннего устройства платформы.

Фактическая «линия риска» для пользователей охватывает период с июня по начало декабря 2025 года: окончательно доступ злоумышленников был отрезан 2 декабря. К этому моменту разработчики уже выпустили версии 8.8.8 и 8.8.9, где постепенно усиливали проверку источников обновлений и целостности загружаемых файлов. Тем не менее, компании, которые не отслеживают состояние парка ПО и не форсируют обновление критичных утилит вроде Notepad++, могли продолжать использовать уязвимые конфигурации WinGUP и после официального устранения проблем.

После расследования инцидента команда Notepad++ сделала сразу несколько важных шагов по усилению безопасности цепочки обновлений. Во-первых, сайт и инфраструктуру проекта перенесли на нового хостинг‑провайдера с более жёсткими требованиями к изоляции клиентов, мониторингу и управлению доступом. Во-вторых, в WinGUP внесли изменения: начиная с версии 8.8.8, загрузка обновлений жёстко привязана к GitHub как единственному источнику файлов.

Следующий ключевой шаг — добавление проверки сертификата и цифровой подписи самиго установщика, реализованное в версии 8.8.9. При этом XML‑манифест с ссылкой на обновление теперь подписывается, а в будущей версии 8.9.2 планируется обязательная проверка подписи и сертификата для этого файла перед использованием URL. Такой подход резко повышает стоимость атаки: злоумышленникам теперь мало взломать хостинг или перехватить трафик, им нужно скомпрометировать цепочку выпуска сертификатов или приватный ключ проекта, что существенно сложнее для большинства групп, даже продвинутых.

📊 Актуальные сравнения характеристик и цен на IT-продукты регулярно публикуются в Железные новости. Подписывайтесь, чтобы не переплачивать за железо.

На первый взгляд, история с Notepad++ напоминает другие резонансные цепочные атаки, вроде компрометации SolarWinds или отдельных пакетов в экосистемах npm и PyPI. Однако здесь есть важное отличие: атакующие не изменяли исходный код приложения и не подменяли релизные артефакты в официальном репозитории. Вместо этого они точечно атаковали инфраструктуру хостинга и использовали неизолированный shared‑сервер как платформу для подмены ответов механизму обновлений.

Это подчёркивает, что защита цепочки поставок — это не только CI/CD и подпись бинарников, но и выбор хостинг‑провайдера, политика изоляции клиентов и архитектура API обновлений. Даже идеально проверенный релиз можно превратить в троян, если клиентское приложение доверяет «любому XML» с нужного домена и не проверяет криптографическую подпись. Для разработчиков это сигнал пересмотреть дизайн автообновлений, а для корпоративных ИБ‑команд — внедрять контроль над тем, какие версии инструментов реально стоят на рабочих станциях и откуда они получают обновления.

Чтобы не оказаться следующей жертвой цепочной атаки через привычные инструменты, организациям нужно комбинировать архитектурные и операционные меры безопасности. Во‑первых, стоит внедрить контроль доверенных источников обновлений: выход в интернет с серверов и рабочих станций, где крутится критичный софт, должен быть жёстко ограничен репозиториями и доменами, прошедшими предварительную проверку. Во‑вторых, важно использовать прокси с проверкой сертификатов и журналированием, чтобы любые аномальные перенаправления или неожиданные домены были заметны ИБ‑команде.

С точки зрения конечных точек стоит включать репутационные и поведенческие механизмы EDR/NGAV: даже если вредоносный инсталлятор попал в систему под видом обновления, его попытки установить бэкдор или изменить ключевые настройки должны вызывать тревогу. Наконец, критично иметь инвентаризацию версий ПО: когда разработчики Notepad++ объявляют, что с 8.8.9 включена проверка подписи, для бизнеса важно не только «в целом обновиться», но и убедиться, что именно эта версия реально развёрнута на всех узлах, где редактор используется по работе.

Для рядового пользователя главный практический шаг очевиден: как можно скорее обновиться до актуальной версии Notepad++, в которой устранены слабые места WinGUP и усилена проверка подписи обновлений. Если редактор используется на рабочих машинах, имеет смысл проверить историю установок и убедиться, что в период с июня по декабрь 2025 года не было подозрительных инсталляторов, скачанных с неофициальных источников. При наличии EDR или антивируса стоит провести сканирование на признаки бэкдора Chrysalis или других аномальных компонентов, появившихся в тот период.

Дополнительно имеет смысл пересмотреть собственное отношение к автоматическим обновлениям всего ПО, а не только Notepad++. Если приложение не предоставляет прозрачной информации о механизме проверки подписи, можно рассмотреть ручное обновление только с проверенных зеркал или официальный репозиторий, особенно на критичных системах. Наконец, полезно периодически смотреть отчёты ИБ‑сообщества о крупных supply chain‑инцидентах — это позволяет не просто реагировать на новости, а заранее выстраивать привычки и инфраструктуру так, чтобы подобные атаки имели минимальные шансы на успех.

⚡ Остались вопросы по выбору комплектующих или настройке системы? В канале Железные новости наши эксперты регулярно отвечают на вопросы подписчиков.

Что именно взломали при атаке на Notepad++ сервер разработчиков или исходный код редактораКомпрометирован был не репозиторий исходников Notepad++, а инфраструктура хостинг‑провайдера, на которой размещался домен для выдачи URL обновлений. Атакующие получили доступ к shared‑серверу и использовали его для подмены ответов механизму WinGUP, оставаясь при этом вне цепочки сборки и релизов самого приложения. Это важный нюанс: исходный код редактора оставался неизменным, а вектор атаки был сосредоточен на доставке обновлений и сетевой инфраструктуре.

Кого на самом деле затронула атака и стоит ли паниковать обычным пользователямПо данным расследования, злоумышленники применяли избирательную схему — вредоносные XML и установщики выдавались только целевым организациям, связанным с госструктурами, телекомом, авиацией, критической инфраструктурой и медиа в регионе Восточной Азии. Это значит, что подавляющее большинство домашних пользователей, скорее всего, никогда не столкнулось с подменой обновлений. Тем не менее, полностью исключать риск нельзя, поэтому разумно обновиться до защищённой версии и выполнить проверку систем безопасности, особенно если Notepad++ используется в рабочем окружении.

Какой вред наносил бэкдор Chrysalis и зачем он нужен атакующимChrysalis описывают как функциональный бэкдор, ориентированный на длительное скрытое присутствие, сбор информации и подготовку почвы для дальнейших этапов атаки. Он позволяет операторам выполнять произвольные команды, собирать данные о системе и сетевом окружении, а также выстраивать устойчивые каналы управления. Такой инструмент полезен не для быстрой монетизации, а для разведки и целевых операций против инфраструктуры стратегически важных организаций, что соответствует профилю Lotus Blossom.

Что изменилось в механизме обновлений Notepad++ после инцидента и как это повышает безопасностьРазработчики перенесли сайт и сервисы на нового хостинг‑провайдера, усилив требования к безопасности инфраструктуры. В WinGUP добавили жёсткую привязку загрузки к GitHub, а также реализовали проверку сертификата и цифровой подписи загружаемого установщика. XML‑файл с ссылкой на обновление теперь подписывается, и в будущих версиях клиент будет отказываться от использования манифеста без валидной подписи и сертификата. Всё это значительно усложняет подмену обновлений без компрометации приватных ключей проекта или цепочки сертификатов.

Как компаниям обнаруживать подобные атаки раньше и не ждать публичных расследованийОрганизациям стоит внедрять мониторинг аномалий в сетевом трафике обновлений, включая анализ доменов, сертификатов и частоты запросов к внешним репозиториям. Использование прокси с SSL‑инспекцией и централизованным логированием помогает замечать подмену сертификатов или перенаправления на неожиданные хосты. Дополнительно полезно применять EDR‑решения, отслеживающие установку новых бинарников и их поведение, особенно если они запускаются с повышенными привилегиями под видом «обновлений» критичных инструментов.

Стоит ли отключать автоматические обновления у всех программ ради безопасностиПолное отключение автообновлений больше вредит, чем помогает: устаревший софт с известными уязвимостями часто становится гораздо более лёгкой добычей, чем цепочка обновлений с редкими инцидентами. Оптимальная стратегия — не ломать механизм, а усиливать его: выбирать вендоров, которые внедряют криптографическую подпись обновлений, использовать контролируемые репозитории и ограничивать внешние источники трафика. На критичных системах можно комбинировать автоматическое обновление с ручной валидацией и поэтапным развёртыванием, чтобы быстро катать патчи, но при этом отслеживать аномалии.

Можно ли защититься на уровне отдельного пользователя без корпоративной инфраструктуры безопасностиДа, даже обычный пользователь может снизить риски: обновлять Notepad++ только до текущих версий с включённой проверкой подписи, скачивать инсталляторы с официального сайта и GitHub. Имеет смысл использовать надёжный антивирус или EDR‑решения для домашних пользователей, которые контролируют запуск новых программ и сетевую активность. Плюс важно следить за новостями о крупных supply chain‑инцидентах и не игнорировать рекомендации разработчиков по установке исправляющих версий, особенно если в описании фигурируют проблемы с механизмами обновления.

🚀 Следите за новостями IT-индустрии и получайте проверенные советы в канале Железные новости. Только факты, никакой рекламы и заказных обзоров!