Notepad++-Updater installierte Malware

[dark_rider]

Hallo zusammen,

Heise berichtet aktuell leider darüber, dass der NP++-Updater Malware installiert hat:

Notepad++-Updater installierte Malware

Der Updater des Open-Source-Editors Notepad++ hat Malware auf PCs installiert. Ein Update auf Notepad++ v8.8.9 korrigiert das.

www.heise.de

Wenn ich es richtig verstehe, betrifft dies aber nicht alle User, sondern nur solche, deren Internet-Traffic gezielt manipuliert wurde?

 

[Ravensberger]

Unsere IT hat wegen dem Vorfall Notepad++ per Generalbefehl gelöscht von allen Rechnern.

Genial. Und damit die Arbeit der wirklich arbeitenden Mitarbeiter zunichte gemacht, die in Notepad++ ihre offenen Arbeiten pflegen. Die können jetzt wie die anderen Kaffee trinken und mühsam ihre Arbeiten wieder zusammensuchen, während sie mit der IT darüber diskutieren dürfen, welchen Editor sie nun benutzen dürfen. Je nach Qualität des IT-Leiters kommt dann: 'Nutzt doch den Windows Editor, der ist doch genauso gut'.

 

[Mornsgrans]

Und das kannst Du so aus der Ferne beurteilen?

 

[Sir Charles82]

Um alle zu beruhigen: ich weiß nicht, wie dieser Generalbefehl programmiert war, aber nach neuerlicher Installation von Notepad++ auf einem Testgerät waren alle Tabs, die in Notepad++ offen waren, wieder da.
Aber ja, alle anderen sind aufs "normale" Notepad zurück geworfen.

 

[dark_rider]

Im von Dir im Startbeitrag verlinkten Artikel steht etwas anderes.

Der von Dir gestern verlinkte Artikel berichtet allerdings von der zwischenzeitlichen Absicherung der Software?

 

[Mornsgrans]

Habe ich das bestritten?

 

[dark_rider]

Ich habe letzteres auch nicht bestritten, dann sind wir uns ja einig

 

[schdrag]

dann sollte es doch reichen, notepad++ ohne die update Funktion zu installieren und gegebenenfalls 'mal eine neue Version von der github Seite zu installieren (hab meine von 2024 nun derart aktualisiert, dass ich die 8.8.9 d'rüber installiert habe). Die bestehenden offenen tabs (viel zu viele...) wurden übernommen (es empfiehlt sich, das vorgeschlagene Verzeichnis zu checken).

 

[Sir Charles82]

[...], dass ich die 8.8.9 d'rüber installiert habe [...]

Aktuell ist die 8.9.1 mit geschlossenen Lücken

 

[schdrag]

danke, @Sir Charles82, die alte Version kam mit dem heise link... Um die 8.9.1 ohne das automatische update Paket zu installieren, muss zuerst der Haken bei "plugins Admin" entfernt werden, erst dann kann man dann auch den Haken bei auto-updater löschen (wer das will...)

 

[LungeeLuke]

Im verlinkten Beitrag findet man nun auch einige Indikatoren zur Kompromittierung, zähle jetzt mal nur die "bösartigen Dateipfade" auf:

%appdata%\ProShow\load
%appdata%\Adobe\Scripts\alien.ini
%appdata%\Bluetooth\BluetoothService

mehr unter:

The Notepad++ supply chain attack – unnoticed execution chains and new IoCs

Kaspersky GReAT experts discovered previously undocumented infection chains used in the Notepad++ supply chain attacks. The article provides new IoCs related to those incidents which employ DLL sideloading and Cobalt Strike Beacon delivery.

securelist.com

 

[cuco]

Neue Infos zu Notepad+ bei heise.de:


Ganzer Artikel:

Notepad++: Updater-Übernahme durch staatliche Akteure

Angreifer hatten gezielt mit dem Notepad++-Updater Malware auf Systeme verfrachtet. Die Untersuchungen deuten auf staatliche Akteure.

www.heise.de

(gut, dass ich auf Firmenrechnern das automatische Update immer nach der Installation deaktiviert hatte)

Also (fast) genau, wie ich gesagt habe: Der Angriff erfolgte nicht (direkt) auf die Notepad++-Software, sondern auf den Hoster. Und auch nicht von irgendeiner kleinen Hackertruppe, sondern von staatlichen Akteuren. Die Sicherheitslücke bei Notepad++ ermögliche zwar überhaupt erst, dass das ganze möglich wurde, aber die Schwachstelle und der ganze Angriff lief auf den Hoster, Notepad++ war nur mittel zum Zweck.

 

[Ambrosius]

Hat Jia Tan ein neues Opfer Projekt gesucht?