Il 2 febbraio 2026 lo sviluppatore Don Ho ha reso pubblica la compromissione dell'infrastruttura di hosting di notepad-plus-plus.org, un attacco sofisticato che ha trasformato il componente di aggiornamento automatico WinGUp in un vettore di intrusione per target ad alto valore. La campagna, attribuita al gruppo Lotus Blossom (noto anche come Lotus Moon), non ha toccato il codice sorgente dell'editor ma ha sfruttato la vulnerabilità CVE-2025-15556 (CVSS 7.7) per intercettare e alterare il flusso degli aggiornamenti. L'incidente dimostra come anche strumenti apparentemente marginali possano diventare pivot critici quando la loro utenza coincide con i profili più privileziati delle reti aziendali.
- La compromissione ha riguardato il provider di hosting condiviso, non il codice sorgente di Notepad++.
- Il targeting era selettivo per indirizzo IP: solo richieste specifiche venivano redirette a server malevoli.
- Due catene di infezione distinte sono state documentate: DLL side-loading per il backdoor Chrysalis e injection di script Lua per Cobalt Strike Beacon.
- Il fix è disponibile dalla versione 8.8.9, con raccomandazione ufficiale di aggiornamento alla 8.9.1 o superiore per enforcement completo della verifica firma.
Come funzionava l'attacco: l'updater senza firma
CVE-2025-15556 risiede nel componente WinGUp (Windows Generic Update Program), il programma di aggiornamento automatico di Notepad++. La vulnerabilità, classificata ad alta severità con punteggio CVSS 7.7 secondo la fonte primaria, consiste nella mancanza di verifica della firma digitale crittografica per i file di metadata XML e per gli installer scaricati. Questa assenza di validazione ha permesso agli attaccanti, una volta compromesso l'hosting provider, di intercettare il traffico destinato al server degli aggiornamenti e di servire installer modificati senza che il componente WinGUp rilevasse l'anomalia.
La selezione delle vittime era chirurgica. Secondo il dossier tecnico, solo le richieste provenienti da specifici indirizzi IP venivano redirette verso server sotto controllo degli attaccanti; il resto del traffico riceveva normalmente gli aggiornamenti legittimi. Questa tecnica ha permesso alla campagna di rimanere al di sotto della soglia di rilevamento dei sistemi di sicurezza di massa, evitando la diffusione indiscriminata che avrebbe attivato allarmi più rapidi.
"This allowed the attackers to intercept and redirect traffic destined for the Notepad++ update server. This infrastructure-level hijack enabled the attackers to selectively target specific users." — Unit 42/Palo Alto Networks
Le due catene di infezione: Chrysalis e Cobalt Strike
Unit 42 ha documentato due vettori di compromissione distinti operativi durante la campagna. Il primo impiegava tecniche di DLL side-loading, sfruttando un componente legittimo di Bitdefender rinominato in BluetoothService.exe per caricare una libreria malevola denominata log.dll. Questa catena distribuiva Chrysalis, un backdoor custom progettato per esfiltrazione dati e monitoraggio delle comunicazioni. Per ridurre la visibilità nei sistemi di rilevamento endpoint, Chrysalis impiegava il framework Microsoft Warbird per la protezione del codice e tecniche di API hashing personalizzate.
La seconda catena di infezione, identificata successivamente, utilizzava l'injection di script Lua per distribuire Cobalt Strike Beacon, uno strumento di post-exploitation ampiamente adottato da attori sofisticati. La coesistenza di due payload diversi suggerisce una flessibilità operativa e una divisione di ruoli tra fasi iniziali di accesso e consolidamento della presenza nella rete target. Secondo le osservazioni di Unit 42, il traffico di command and control riservato a questa infrastruttura è stato attivo tra agosto e novembre 2025, con beacon diretti verso gli indirizzi IP 45.76.155[.]202 e, in una fase successiva, 45.77.31[.]210.
Chi è stato colpito: demografia e geografia
I settori target includevano governo, finanza, telecomunicazioni e infrastrutture critiche. Le regioni originarie dell'attività malevola erano Vietnam, Filippine, Hong Kong, Taiwan e Australia; la campagna ha successivamente ampliato il proprio raggio d'azione a Sud America, Stati Uniti, Europa e Sud-est asiatico. Questa espansione geografica, documentata da entrambe le fonti convergenti, indica che il successo iniziale dell'approccio selettivo ha spinto gli operatori a replicare il modello su nuovi contesti.
L'elemento decisivo non è la criticità apparente del software, ma la sua demografia di utilizzo. Sysadmin, DevOps e network engineer rappresentano tipicamente la fascia di utenti di Notepad++: individui che operano con privilegi elevati e che dispongono di accesso privilegiato alle infrastrutture di rete. Come osserva Unit 42, compromettere questo strumento specifico consente agli attaccanti di bypassare le difese perimetrali e di inserirsi direttamente nelle sessioni degli utenti più potenzialmente dannosi per un'organizzazione.
"This specific user demographic makes Notepad++ a strategically critical target for threat actors. Compromising this single tool allows attackers to effectively bypass perimeter defenses and piggyback into the sessions of the most privileged users in the organization." — Unit 42/Palo Alto Networks
Timeline e disclosure: da agosto 2025 al 2 febbraio 2026
La cronologia ricostruita dai documenti disponibili colloca l'attività malevola tra giugno e dicembre 2025, con la compromissione iniziale dell'hosting provider e la successiva remediation. La disclosure pubblica completa con dettagli forensi è avvenuta il 2 febbraio 2026 per iniziativa dello sviluppatore Don Ho. Non è tuttavia disponibile la data esatta di inizio della compromissione dell'hosting, né la sequenza precisa con cui la vulnerabilità CVE-2025-15556 sia stata identificata rispetto alla scoperta dell'attacco: il brief non chiarisce se il CVE sia emerso durante l'investigazione o fosse già noto.
Dataminr afferma di aver identificato indicatori iniziali della campagna con 62 giorni di anticipo rispetto alla notifica CISA KEV, una claim che il dossier non verifica indipendentemente. Il numero esatto di vittime, il volume di dati esfiltrati e la durata effettiva degli accessi compromessi restano non specificati dalla fonte.
Perché è importante
Il brief non specifica misure correttive dettagliate al di là dell'aggiornamento di versione. La fonte indica che la versione 8.8.8 ha spostato la distribuzione degli aggiornamenti su GitHub per bypassare l'infrastruttura di hosting compromessa, mentre la 8.8.9 ha introdotto la verifica obbligatoria della firma digitale. La raccomandazione ufficiale converge sulla versione 8.9.1 o superiore per enforcement completo, sebbene il dossier non chiarisca se la 8.8.9 sia già sufficiente o se la 8.9.1 introduca ulteriori controlli non documentati.
La fonte non documenta azioni operative specifiche per le organizzazioni che potrebbero essere state esposte. Non emergono indicatori comportamentali prescrittivi né query di threat hunting autorizzate oltre a quelle pubblicate da Unit 42 per i propri clienti. Il dossier non specifica inoltre se la campagna abbia lasciato artefatti persistenti sui sistemi compromessi al di là dei payload documentati, né fornisce una procedura di verifica per i network che abbiano ricevuto aggiornamenti durante il periodo di rischio.
La lezione del privilegio nascosto
L'attacco a Notepad++ inverte la logica convenzionale della sicurezza supply chain. Non è stato necessario corrompere un repository critico o un componente enterprise: è bastato compromettere la fiducia riposta in un updater automatico di un editor di testo leggero, sfruttando la discrepanza tra percezione di rischio e impatto reale. La selettività dell'operazione, il doppio vettore di infezione e l'espansione geografica documentata convergono su un modello che altri attori sofisticati possono replicare su altri strumenti quotidiani con utenza privilegiata.
Il caso pone una domanda misurabile: quanti altri updater automatici, in applicazioni considerate marginali, condividono la stessa assenza di verifica crittografica end-to-end? La risposta non è nel brief, ma la domanda è ora sul tavolo delle redazioni di sicurezza e dei responsabili infrastruttura.
Le informazioni sono basate sull advisory citata e aggiornate al momento della pubblicazione.
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.
Fonti
- https://www.dataminr.com/resources/intel-brief/notepad-supply-chain-compromise/
- https://unit42.paloaltonetworks.com/notepad-infrastructure-compromise/
- https://www.dataminr.com/ai-platform
- https://www.dataminr.com/products/corporate-security/