UAC-0099: il falso plugin Notepad++ che sfrutta una funzione…

Il 24 luglio 2026 il CERT-UA ha diffuso un avviso che mette in luce una campagna del cluster di minacce UAC-0099: un finto plugin per Notepad++ viene usato come

{"main_topic":"cybersecurity","topics":["malware","phishing","cve","zero-day","exploit"]}

Il 24 luglio 2026 il CERT-UA ha diffuso un avviso che mette in luce una campagna del cluster di minacce UAC-0099: un finto plugin per Notepad++ viene usato come veicolo di accesso iniziale contro organizzazioni governative e di difesa ucraine. La tecnica non sfrutta una vulnerabilità patchabile, ma un comportamento architetturale by-design del noto editor open source, rendendo la difesa dipendente da controlli comportamentali piuttosto che da aggiornamenti software.

Punti chiave

UAC-0099, cluster Russia-allineato attivo dal 2022, distribuisce malware tramite bundling di Notepad++ v8.8.3 con una DLL malevola che impersona il plugin NppExport.
La catena di infezione è a tre stadi: LUNCHPOKE (persistenza via scheduled task ogni 3 minuti), BURNYBEAR (loader con anti-analisi basata su esaurimento risorse), MATCHBOIL.V2 (payload finale con capacità C2).
ESET e Mandiant documentano UAC-0099 come broker di accesso iniziale per APT44/Sandworm, gruppo del GRU russo che ha già dispiegato wiper contro università, energia e settore grano ucraino nel 2025.
Il vettore DLL sideloading è un comportamento by-design di Notepad++ che carica automaticamente le DLL presenti nella directory plugin, rendendo il rischio non eliminabile tramite patching.

Il meccanismo: quando un'architettura plugin diventa fattore di rischio

Notepad++ è progettato per caricare automaticamente le DLL presenti nella propria directory plugin all'avvio. Questa scelta architetturale legittima — che permette l'estensibilità dell'editor — diventa un vettore d'attacco quando un aggressore introduce una DLL malevola nella stessa struttura di directory di un'installazione legittima. Il file binario firmato di Notepad++ carica il codice arbitrario ereditando il trust del processo padre.

Nella campagna documentata da CERT-UA, l'archivio "Evernote.zip" scaricato dalla catena di phishing contiene tre elementi: l'installer legittimo di Notepad++ nella versione 8.8.3, il file NppExport.dll rinominato in malware LUNCHPOKE, e un archivio cifrato updater.rar. Quando l'utente esegue l'editor, il processo carica automaticamente la DLL malevola senza richiedere azioni aggiuntive.

LUNCHPOKE stabilisce la persistenza creando una scheduled task che si attiva ogni 3 minuti. Questa attività avvia RemoteLibUpdater.exe, il componente BURNYBEAR, che a sua volta carica InitTest.dll (MATCHBOIL.V2). La frequenza della task — 180 secondi — è insolitamente aggressiva e suggerisce una priorità di mantenimento dell'accesso rispetto alla discrezione.

BURNYBEAR e l'anti-analisi che inverte la logica della sandbox

Il componente BURNYBEAR introduce una tecnica di anti-analisi documentata da CERT-UA con precisione tecnica: se l'eseguibile viene lanciato senza gli argomenti della riga di comando corretti, non mostra comportamento malevolo né errori evidenti. Al contrario, attiva una logica progettata per esaurire le risorse della macchina, saturando RAM e processore.

"if 'RemoteLibUpdater.exe' is launched incorrectly, namely without specifying arguments, BURNYBEAR instead activates logic designed to exhaust computer resources (RAM and processor)" — CERT-UA, riferito da The Hacker News

Questo meccanismo inverte il paradigma tradizionale della sandboxing. Gli ambienti di analisi automatica tipicamente eseguioni i campioni senza parametri specifici o con parametri generici; BURNYBEAR sfrutta proprio questa condizione standard per rendere l'esecuzione costosa invece di rivelatrice. Il campione appare tecnicamente come un processo che consuma risorse, non come malware che si comporta male — un profilo che molte piattaforme di analisi non segnalano come anomalo.

MATCHBOIL.V2, il payload finale, è un loader C# aggiornato rispetto a versioni precedenti. Mantiene capacità di comunicazione con server di comando e controllo e di download di payload secondari. Per la decompressione dei file scaricati utilizza WinRAR; se l'utilità non è presente sul sistema, la procedura lo scarica automaticamente da Dropbox. Questa catena di dipendenza esterna introduce un punto di osservazione potenziale per i difensori, sebbene il traffico verso servizi di hosting legittimi sia notoriamente difficile da filtrare senza generare falsi positivi.

Da UAC-0099 a Sandworm: il percorso dell'accesso alla distruzione

La documentazione di ESET e Mandiant colloca UAC-0099 in una posizione specifica nell'ecosistema delle minacce Russia-allineate: initial access broker. Il cluster ottiene il foothold iniziale, poi trasferisce l'accesso ad APT44/Sandworm, il gruppo operativo del GRU responsabile di operazioni distruttive di alto profilo.

Il 2025 ha visto Sandworm utilizzare accessi originati da UAC-0099 per il dispiegamento di malware wiper contro obiettivi ucraini in tre settori critici: università, energia e agricoltura (grano). La transizione da compromissione iniziale a distruzione dati non è immediata né automatica; il tempo tra accesso e impatto offre una finestra per il rilevamento, ma richiede che i difensori riconoscano la presenza di UAC-0099 come fase preliminare piuttosto che come obiettivo finale.

Il nome del file osservato in questa campagna — "Attachments to rozporyadjennya.zip", dove il termine ucraino significa "ordine" o "direttiva" — indica una lavorazione del sociale engineering specifica per il contesto burocratico-militare ucraino. L'uso dello shortener EasySend[.]co e dello stadio intermedio di file-sharing segue pattern documentati in campagne precedenti dello stesso cluster.

CVE-2025-56383 e il caso del vettore non patchabile

Il National Vulnerability Database ha assegnato l'identificatore CVE-2025-56383 a un problema di DLL hijacking in Notepad++ v8.8.3, con un punteggio CVSS 3.1 di 8.4 (HIGH) secondo il vettore AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Tuttavia, la registrazione riporta uno status DISPUTED: lo sviluppatore di Notepad++ contesta la classificazione come vulnerabilità, argomentando che il comportamento si manifesta solo quando il prodotto viene installato in una struttura di directory con permessi di scrittura per utenti non privilegiati.

Questa disputa evidenzia il cuore del problema tecnico. La campagna UAC-0099 non sfrutta una vulnerabilità nel senso classico del termine — non c'è buffer overflow, né race condition, né validazione mancante di input. L'attacco funziona perché Notepad++ fa esattamente ciò che è progettato per fare: caricare plugin dalla propria directory. Il bundling dell'installer legittimo con la DLL malevola è un problema di distribuzione, non di codice.

Di conseguenza, non esiste patch che elimini il vettore senza rompere l'ecosistema plugin su cui si basa l'utilità dell'editor per milioni di utenti. Le mitigazioni devono operare su altri livelli: controllo dell'integrità dei pacchetti di installazione, restrizione delle directory di plugin, monitoraggio del caricamento di DLL non firmate dal processo notepad++.exe.

Cosa fare adesso

Il CERT-UA ha indicato azioni concrete che le organizzazioni possono adottare per ridurre l'esposizione alla campagna e a vettori analoghi:

Aggiornare Notepad++ alla versione 8.9.7, che include correzioni per problematiche di sicurezza note; l'aggiornamento non elimina il vettore DLL sideloading ma riduce la superficie di attacco complessiva.
Mantenere aggiornati 7-Zip alla versione 26.02 e WinRAR alla versione 7.23, componenti che la catena di attacco utilizza o tenta di utilizzare per la manipolazione di archivi.
Verificare la presenza di scheduled task non autorizzate con frequenza anomala, in particolare quelle che puntano a eseguibili in directory temporanee o di download con nomi generici come RemoteLibUpdater.exe.
Trattare gli allegati con nomi che evocano documenti ufficiali ucraini — in particolare termini come "rozporyadjennya" (ordine/direttiva) — come oggetto di verifica aggiuntiva indipendentemente dall'estensione apparente.

Perché questa campagna cambia il perimetro della difesa

La campagna UAC-0099/Notepad++ si colloca in un pattern strategico più ampio documentato dal governo statunitense: le minacce informatiche Russia-allineate utilizzano l'Ucraina come banco di prova per tecniche poi estese a obiettivi NATO e statunitensi. La citazione riferita da The Hacker News nel contesto del pattern generale — "estensive campagne contro obiettivi ucraini, prima dell'uso contro Stati Uniti e altri alleati NATO, delineano una tendenza crescente" — fornisce il quadro geopolitico entro cui leggere l'innovazione tecnica.

Il "feature non patchabile" rappresenta una categoria di rischio che le organizzazioni devono imparare a gestire. Non ogni vettore d'attacco è risolvibile con un ciclo di patch; alcuni richiedono il riconoscimento che software legittimi, configurati in modo legittimo, possono essere strumentalizzati da attori che controllano il contesto di installazione. La difesa si sposta dal vulnerabilità management al controllo del comportamento, dalla gestione degli aggiornamenti alla verifica dell'integrità dell'intero stack di distribuzione.

Per i team che operano in ambienti con esposizione al contesto ucraino o alle sue supply chain, la raccomandazione operativa implicita nel dossier è chiara: l'ecosistema plugin di applicazioni diffuse come Notepad++ deve essere trattato come attack surface attiva, non come funzionalità secondaria trasparente all'utente.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti