Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime e Analisi Vulnerabilità
Notepad++ è spesso preso di mira da malintenzionati perché il software è popolare e ampiamente utilizzato. Una vulnerabilità recentemente scoperta nell’editor di testo e codice open source Notepad++ potrebbe consentire agli aggressori di dirottare il traffico di rete, compromettere il processo di aggiornamento e installare malware sui computer interessati. Questa falla è stata ora corretta nella versione 8.8.9 di Notepad++.
Gli utenti che utilizzano versioni precedenti dovrebbero eseguire immediatamente una scansione approfondita con un software di sicurezza affidabile. I loro sistemi potrebbero essere già stati compromessi; nei casi più gravi, una reinstallazione completa del sistema potrebbe essere l’unica soluzione affidabile.
Secondo gli sviluppatori, l’utilità di aggiornamento di Notepad++, WinGUp, potrebbe, in determinate circostanze, essere reindirizzata a un server dannoso, con conseguente download di un eseguibile manomesso in grado di infettare il sistema.
Durante il processo di aggiornamento, WinGUp controlla il numero di versione e interroga l’endpoint https://notepad-plus-plus.org/update/getDownloadUrl[.]php. Questo endpoint genera un file XML che include l’URL per il download, che l’aggiornamento recupera ed esegue dalla directory %TEMP%. Qualsiasi avversario in grado di intercettare e modificare questo traffico potrebbe alterare l’URL di download, ad esempio sostituendolo con un collegamento a un payload dannoso.
A partire dalla versione 8.8.7, Notepad++ ha adottato un certificato digitale GlobalSign affidabile, eliminando la necessità per gli utenti di installare un certificato radice separato e rafforzando notevolmente la sicurezza dell’applicazione.
La versione 8.8.8 ha introdotto il requisito che WinGUp utilizzi GitHub.com come unica fonte di download, mentre la nuova versione 8.8.9 migliora ulteriormente la sicurezza convalidando correttamente la firma digitale e il certificato del file scaricato. Se la verifica fallisce, il processo di aggiornamento viene interrotto.
Gli sviluppatori non hanno ancora determinato con precisione come si sia verificato il dirottamento del traffico e sono in corso ulteriori indagini. Tuttavia, le prove esistenti suggeriscono che gli aggressori abbiano già sfruttato la vulnerabilità contro specifiche organizzazioni prese di mira.
Si consiglia vivamente agli utenti di aggiornare almeno alla versione 8.8.8, sebbene sia preferibile l’aggiornamento diretto alla versione 8.8.9. Poiché la versione 8.8.8 non è in grado di rilevare l’ultima versione, gli utenti dovrebbero scaricare manualmente la versione 8.8.9 dal sito web ufficiale.
