A versão 8.8.9 do Notepad++ foi lançada para corrigir uma fraqueza de segurança em sua ferramenta de atualização WinGUp após pesquisadores e usuários relatarem incidentes em que o atualizador recuperou executáveis maliciosos em vez de pacotes legítimos de atualização.
Os primeiros sinais desse problema apareceram em um Tópico do fórum da comunidade Notepad++, onde um usuário relatou que a ferramenta de atualização do Notepad++, GUP.exe (WinGUp), gerou um executável desconhecido “%Temp%AutoUpdater.exe” que executava comandos para coletar informações do dispositivo.
Segundo o repórter, esse executável malicioso executava vários comandos de reconhecimento e armazenava a saída em um arquivo chamado ‘a.txt’.
cmd /c netstat -ano >> a.txt
cmd /c systeminfo >> a.txt
cmd /c tasklist >> a.txt
cmd /c whoami >> a.txt
O autoupdater.exe O malware então usou o comando curl.exe para exfiltrar o arquivo a.txt até o Temp[.]SH, um site de compartilhamento de arquivos e textos anteriormente usado em campanhas de malware.
Como o GUP usa a biblioteca libcurl em vez do comando ‘curl.exe’ e não coleta esse tipo de informação, outros usuários do Notepad++ especularam que o usuário havia instalado uma versão não oficial e maliciosa do Notepad++ ou que o tráfego de rede de atualização automática foi sequestrado.
Para ajudar a mitigar possíveis sequestros de rede, o desenvolvedor do Notepad++, Don Ho, lançou a versão 8.8.8 em 18 de novembro, para que as atualizações possam ser baixadas apenas do GitHub.
Como uma correção mais forte, o Notepad 8.8.9 foi lançado em 9 de dezembro, o que impedirá a instalação de atualizações que não estejam assinadas com o certificado de assinatura do código do desenvolvedor.
“A partir desta versão, Notepad++ e WinGUp foram reforçados para verificar a assinatura e o certificado dos instaladores baixados durante o processo de atualização. Se a verificação falhar, a atualização será abortada.” lê o Aviso de segurança do Notepad 8.8.9.
URLs de atualização sequestradas
No início deste mês, o especialista em segurança Kevin Beaumont alertou que ouviu de três organizações impactadas por incidentes de segurança ligados ao Notepad++.
“Já ouvi de 3 organizações que tiveram incidentes de segurança em boxes com o Notepad++ instalado, onde parece que processos do Notepad++ geraram o acesso inicial.” explicou Beaumont.
“Isso resultou em atores de ameaça no teclado que usam a mão.”
O pesquisador diz que todas as organizações com quem conversou têm interesses no Leste Asiático e que a atividade pareceu muito direcionada, com vítimas relatando atividade de reconhecimento prático após os incidentes.
Quando o Notepad++ verifica atualizações, ele se conecta a https://notepad-plus-plus.org/update/getDownloadUrl.php?version=. Se houver uma versão mais recente, o endpoint retornará dados XML que fornecem o caminho de download para a versão mais recente: