Notepad++ rolt noodpatch uit na ernstige kwetsbaarheid in updateproces
Meerdere gebruikers en bedrijven zeggen slachtoffer te zijn geworden door een kwetsbaarheid in het updateproces van Notepad++ op Windows. Via het communityforum van de app schrijft een gebruiker dat hij plots een onbekend ‘%Temp%\AutoUpdater.exe’-proces tegenkwam dat informatie over zijn computer verzamelde.
Autoupdater.exe is in dit geval malware die gevoelige informatie verzamelde in een a.txt-bestand en dit vervolgens uploadde naar temp.sh, een soort bestandsdeeldienst die vaker wordt ingezet voor malafide activiteiten.
Hoe het precies kon gebeuren dat de malware via Notepad++ op systemen terechtkwam, lijkt vooralsnog een raadsel. Diverse gebruikers speculeren dat er sprake is van een lek in het WinGUp-updatesysteem van Notepad++ en dat het webverkeer wordt omgeleid, waardoor de auto-updater plots een malafide versie van de populaire notitieapp installeerde in plaats van een legitieme update.
“Zeer gerichte aanvallen”
Ook de bekende beveiligingsonderzoeker Kevin Beaumont heeft zich inmiddels uitgelaten over de kwestie. In een blogpost zegt Beaumont van minstens drie bedrijven te weten dat ze door de kwetsbaarheid in Notepad++ getroffen zijn. In alle gevallen zou het gaan om bedrijven met “belangen in Oost-Azië”, waarbij de onderzoeker vermoedt dat het om zeer gerichte aanvallen gaat.
Het zijn ook geen gewone aanvallen, vervolgt Beaumont: “Omdat het verkeer naar notepad-plus-plus.org vrij zeldzaam is, is het mogelijk om binnen de ISP-keten te zitten en om te leiden naar een andere download. Om dit op enige schaal te doen, zijn veel middelen nodig.” Tegelijk zegt de onderzoeker dat het ook geregeld voorkomt dat via malvertising malafide varianten van populaire software, zoals Notepad++, worden aangeboden.
Update Notepad++ onmiddellijk
Hoewel het onderzoek naar de definitieve oorzaak nog loopt, heeft Notepad++ al wel updates uitgebracht. Die moeten er vooral voor zorgen dat de auto-updater niet zomaar meer software-updates kan installeren. Voortaan zijn alle officiële binaire bestanden en installatie-tools namelijk getekend met geldige certificaten. Zonder dat cryptografische certificaat zal de installatie simpelweg mislukken.
Gebruikers wordt daarom aangeraden zo snel mogelijk te upgraden naar versie 8.8.9, die op 9 december werd uitgebracht. Vanaf versie 8.8.7 wordt overigens al gecontroleerd of zo’n geldig certificaat aanwezig is, en met versie 8.8.8 voegde Notepad++ de beperking toe dat software-updates alleen vanaf zijn eigen GitHub-repo gedownload kunnen worden.
