Allarme Notepad++: compromesso per sei mesi il sistema di aggiornamento

Quella di cui ha sofferto Notepad++ nella seconda metà del 2025 è stata una delle operazioni di spionaggio informatico più mirate degli ultimi tempi, emersa solo dopo mesi di attività silenziosa all'interno delle infrastrutture che gestiscono la distribuzione degli aggiornamenti. Le indagini hanno confermato che un gruppo di attaccanti, identificato come affiliato allo stato cinese, è riuscito a prendere il controllo del meccanismo di aggiornamento del celebre editor di testo, sfruttando una debolezza nell'infrastruttura del fornitore di hosting.

L'incidente ha avuto inizio nel giugno 2025 e si è protratto fino al 2 dicembre dello stesso anno. Gli attori della minaccia hanno agito con estrema cautela, evitando di colpire la massa indistinta degli utenti. L'obiettivo era intercettare il traffico generato dal sistema di aggiornamento automatico, noto come WinGUp, per reindirizzare specifiche richieste verso server controllati dagli hacker. L'operazione non prevedeva la modifica del codice sorgente dell'editor, mantenendo così intatta l'integrità del programma principale e rendendo l'intrusione molto più difficile da rilevare per i normali controlli di sicurezza.

La dinamica della compromissione di Notepad++

Don Ho, lo sviluppatore principale del progetto, ha chiarito in un'intervista con Bleeping Computer, che la violazione è avvenuta a livello di infrastruttura. Gli attaccanti hanno ottenuto l'accesso ai server del provider di hosting, riuscendo a manipolare il flusso dei dati destinati al dominio ufficiale. Invece di ricevere i pacchetti legittimi, le vittime selezionate venivano indirizzate verso un server che distribuiva manifesti di aggiornamento alterati. Notepad++ nelle versioni precedenti mancava di controlli sufficienti per verificare l'autenticità di questi file, permettendo l'installazione di componenti malevoli senza che l'utente o il sistema potessero accorgersene immediatamente.

Analisi indipendenti condotte da ricercatori di sicurezza hanno collegato l'attività a gruppi noti come "Lotus Blossom" o "Violet Typhoon" (APT31), entità storicamente associate ad attività di spionaggio per conto di Pechino. La scelta delle vittime rafforza questa attribuzione: i target principali includevano organizzazioni operanti nei settori delle telecomunicazioni e dei servizi finanziari, nonché entità situate negli Stati Uniti e in Asia orientale. Si è trattato quindi di un attacco alla supply chain chirurgico, progettato per infiltrare reti ad alto valore strategico.

Sebbene gli hacker abbiano perso l'accesso diretto al server a settembre 2025 a seguito di una manutenzione programmata che ha aggiornato kernel e firmware, sono riusciti a mantenere il controllo grazie a credenziali di servizio interne sottratte in precedenza. Tale persistenza ha permesso loro di continuare a deviare il traffico fino all'inizio di dicembre. Solo quando il provider di hosting ha rilevato anomalie nei log di connessione, l'accesso è stato definitivamente interrotto.

In risposta all'accaduto, il team di sviluppo ha migrato l'intero sito web su una nuova infrastruttura dotata di protocolli di sicurezza più rigidi. Con il rilascio della versione 8.8.9, sono stati introdotti meccanismi di verifica crittografica obbligatoria per gli aggiornamenti, impedendo che file non firmati o manipolati possano essere accettati dal client. Gli utenti che hanno aggiornato il software tra giugno e dicembre 2025 sono stati invitati a verificare l'integrità della propria installazione, anche se la natura selettiva dell'attacco suggerisce che la maggior parte dell'utenza globale non sia stata compromessa. Ulteriori dettagli tecnici sulla vulnerabilità possono essere consultati sul blog Rapid7.