I creatori di Notepad++ hanno pubblicato i risultati di un'indagine che documenta una compromissione durata mesi dell'infrastruttura di distribuzione del software. L'attacco, attribuito da Rapid7 al gruppo di cyberspionaggio cinese Lotus Blossom, ha permesso di reindirizzare selettivamente il traffico degli aggiornamenti verso server controllati per distribuire malware a organizzazioni target nei settori telecom e finanziari dell'Asia orientale. La persistenza è stata garantita da credenziali rubate prima di settembre 2025, che hanno mantenuto l'accesso operativo fino al 2 dicembre 2025, tre mesi dopo che il provider hosting aveva ritenuto conclusa la remediation.
- La compromissione è avvenuta a livello di hosting provider condiviso, non tramite vulnerabilità nel codice di Notepad++.
- Il traffico di utenti selezionati è stato reindirizzato a server attaccante con manifest di aggiornamento malevoli.
- Credenziali ottenute prima del 2 settembre 2025 hanno permesso accesso persistente fino al 2 dicembre 2025.
- Notepad++ è migrato a nuovo provider e ha implementato verifiche client-side dell'integrità degli aggiornamenti.
Come funzionava il dirottamento degli aggiornamenti
L'attacco si è concentrato sull'infrastruttura di hosting condiviso che ospitava notepad-plus-plus.org. Secondo quanto reso pubblico da Don Ho, creatore e maintainer del progetto, gli attaccanti sono riusciti a intercettare e reindirizzare il traffico destinato al sito di aggiornamento del software. Il reindirizzamento non era indiscriminato: interessava specificamente "certain targeted users", il che indica un meccanismo di filtraggio attivo da parte degli operatori.
Il provider hosting ha identificato che Notepad++ era stato specificamente targettato, senza evidenza che altri clienti sullo stesso server condiviso fossero stati colpiti. Questa precisione suggerisce ricognizione preliminare dell'infrastruttura e selezione deliberata del software come veicolo di accesso iniziale. Il meccanismo tecnico esatto della compromissione infrastrutturale resta sotto indagine.
"Traffic from certain targeted users was selectively redirected to attacker-controlled server malicious update manifests"
— Don Ho, creatore e maintainer Notepad++
Il 'ghost access' che ha superato la remediation
Il punto critico della timeline è il divario tra remediation percepita e persistenza effettiva. Il 2 settembre 2025, durante una manutenzione programmata, il provider ha aggiornato kernel e firmware del server compromesso. Questa azione avrebbe dovuto chiudere l'accesso degli attaccanti. Invece, credenziali ottenute prima di quella data hanno consentito di mantenere accesso a servizi interni del provider fino al 2 dicembre 2025.
Questa finestra di tre mesi ha permesso agli attaccanti di continuare a reindirizzare traffico e distribuire malware nonostante l'intervento infrastrutturale. Il caso evidenzia un pattern ricorrente: la remediation tecnica visibile non ha eliminato l'accesso persistente basato su credenziali precedentemente rubate. Il provider non ha comunicato dettagli sulle credenziali compromesse o sui servizi interni interessati.
Attribuzione a Lotus Blossom e malware Chrysalis
Rapid7 ha attribuito l'operazione a Lotus Blossom, gruppo di cyberspionaggio collegato alla Cina con attività documentata da oltre un decennio. Il malware custom distribuito nell'operazione è denominato Chrysalis; il dossier non ne fornisce dettagli tecnici. L'attribuzione si fonda sull'analisi tecnica di Rapid7: allo stato attuale non emergono sovrapposizioni infrastrutturali confermate da fonti indipendenti che colleghino l'operazione a altri gruppi noti.
Gli obiettivi dichiarati — telecom e servizi finanziari in Asia orientale — rientrano nel tradizionale mirino della cyberspionaggio cinese. Il mancato dettaglio sui criteri di targeting non permette di stabilire se la selezione avvenisse in tempo reale o fosse predeterminata.
Cosa fare adesso
Per le organizzazioni che utilizzano Notepad++ in ambienti enterprise, tre azioni derivano direttamente dal caso documentato.
Primo: verificare che sia stata installata la versione rilasciata dopo il disclosure ufficiale, che include le verifiche client-side dell'integrità degli aggiornamenti. Notepad++ ha implementato questo meccanismo in risposta all'incidente; la sua assenza indica un'installazione non aggiornata.
Secondo: rivedere i log di rete del periodo giugno-dicembre 2025 per connessioni a notepad-plus-plus.org che mostrino anomalie di routing o risoluzione DNS non standard. Il reindirizzamento selettivo documentato potrebbe aver lasciato tracce in proxy e firewall aziendali.
Terzo: valutare la dipendenza da software open source distribuiti tramite hosting condiviso, dove il progetto non controlla direttamente l'infrastruttura. Il caso dimostra che questa dipendenza introduce rischio di supply chain indipendente dalla sicurezza del codice sorgente.
La risposta di Notepad++ e i limiti del disclosure
Notepad++ ha rilasciato aggiornamenti per prevenire il dirottamento dell'updater ed è migrato a un nuovo provider hosting. L'implementazione di verifiche client-side dell'integrità degli aggiornamenti rappresenta un cambiamento architetturale che, secondo la fonte, non era presente prima dell'incidente. La natura esatta di queste verifiche non è dettagliata nel disclosure pubblico.
Kevin Beaumont, ricercatore indipendente, aveva riportato a inizio dicembre 2025 che organizzazioni utilizzanti Notepad++ erano state target di aggiornamenti software malevoli, anticipando di alcune settimane il disclosure ufficiale. Questo ritardo tra rilevamento informale e comunicazione strutturata ha lasciato utenti enterprise senza indicazioni operative verificabili per un periodo significativo.
Domande frequenti
Devo disinstallare Notepad++?
Il brief non riporta raccomandazioni del genere da parte di Notepad++ o della fonte. La compromissione era legata all'infrastruttura di hosting, non al codice del software, e la migrazione a nuovo provider è stata completata.
Come facevano gli attaccanti a selezionare le vittime?
Il dossier non specifica i criteri di targeting. Non è noto se il reindirizzamento si basasse su geolocalizzazione, ASN, range IP o altri identificatori.
Il malware Chrysalis è stato analizzato pubblicamente?
Il nome Chrysalis è riportato dalla fonte, ma il dossier non contiene analisi tecnica del malware né dettagli sulle sue funzionalità o indicatori di compromissione.
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.