Notepad++ compromis par des hackers soutenus par un État

 (notepad-plus-plus.org)
2 points par GN⁺ 2026-02-03 | 1 commentaires | Partager sur WhatsApp
  • Un incident de sécurité a redirigé le trafic de mise à jour du site officiel de Notepad++ vers des serveurs d’attaquants
  • L’attaque a été menée via une compromission au niveau de l’infrastructure de l’hébergeur, et non par une faille dans le code de Notepad++ lui-même
  • L’attaque a duré de juin 2025 au 2 décembre, et plusieurs chercheurs en sécurité l’attribuent à un groupe de hackers soutenu par le gouvernement chinois
  • Les attaquants ont distribué des mises à jour malveillantes en visant d’anciennes versions de Notepad++ dont la procédure de vérification des mises à jour était insuffisante
  • La sécurité a depuis été renforcée via la migration du site, le durcissement de la vérification des certificats et des signatures, ainsi que l’introduction de signatures XML

Aperçu de l’incident

  • Après l’avis de sécurité (annonce de la v8.8.9), une enquête a été menée en coopération avec des experts externes et l’ancien hébergeur
  • L’analyse a montré que les attaquants avaient réalisé une compromission au niveau de l’infrastructure leur permettant d’intercepter et de rediriger le trafic de mise à jour destiné à notepad-plus-plus.org
  • La compromission s’est produite sur les serveurs de l’hébergeur, et non dans le code de Notepad++
  • Seul le trafic de certains utilisateurs était redirigé de manière sélective vers des serveurs contrôlés par les attaquants afin de fournir un manifeste de mise à jour malveillant

Calendrier de l’attaque et auteurs présumés

  • L’attaque a commencé en juin 2025
  • Plusieurs chercheurs indépendants en sécurité l’attribuent à un groupe de hackers soutenu par le gouvernement chinois
  • L’attaque se distingue par son caractère très limité et hautement sélectif

Résultats de l’enquête de l’hébergeur

  • L’hébergeur a confirmé que les serveurs étaient compromis jusqu’au 2 septembre 2025
    • Des mises à jour du noyau et du firmware ont été appliquées à cette date, après quoi des schémas similaires ont disparu des logs
  • Les attaquants ont conservé des identifiants de services internes jusqu’au 2 décembre, leur permettant de rediriger une partie du trafic
  • L’analyse des logs indique que les autres clients n’étaient pas visés et que seul le domaine Notepad++ était ciblé
  • Après le 2 décembre :
    • les correctifs de vulnérabilités et la rotation des identifiants ont été finalisés
    • aucun signe de compromission similaire n’a été trouvé sur d’autres serveurs
  • Il a été recommandé aux clients de changer leurs mots de passe SSH, FTP/SFTP et MySQL, et de vérifier leurs comptes administrateur WordPress

Résumé (TL;DR)

  • Le serveur d’hébergement mutualisé était compromis jusqu’au 2 septembre 2025, puis les attaquants ont conservé des identifiants internes jusqu’au 2 décembre
  • Les attaquants ont exploité les faiblesses de vérification des mises à jour de Notepad++ pour distribuer des mises à jour malveillantes
  • Toutes les mesures de renforcement de sécurité ont été finalisées après le 2 décembre, bloquant toute attaque supplémentaire

Réponse et renforcement de la sécurité

  • Le site web de Notepad++ a été migré vers un nouvel hébergeur offrant un niveau de sécurité plus élevé
  • L’outil de mise à jour interne de Notepad++, WinGup, à partir de la v8.8.9 :
    • ajoute la vérification du certificat et de la signature des fichiers d’installation téléchargés
    • applique une signature XMLDSig aux réponses XML du serveur de mise à jour
    • à partir de la v8.9.2, la vérification des certificats et signatures sera obligatoire
  • Il est recommandé aux utilisateurs d’installer manuellement la version v8.9.1

Informations complémentaires et limites de l’enquête

  • Aucun indicateur de compromission (Indicator of Compromise, IoC) n’a été obtenu
    • Environ 400 Go de logs serveur ont été analysés, mais aucun IoC concret tel que hash binaire, domaine ou IP n’a été identifié
    • Une demande d’IoC a également été adressée à l’hébergeur, sans réponse exploitable
  • Ivan Feigl de Rapid7 a partagé les résultats d’une enquête distincte et dispose d’IoC plus précis

Conclusion

  • L’attaque a pris la forme d’une manipulation ciblée des mises à jour via la compromission de l’infrastructure d’hébergement
  • Le problème est considéré comme résolu grâce au renforcement de la sécurité et à la migration des serveurs
  • Notepad++ prévoit de renforcer davantage son système de vérification des mises à jour pour prévenir des attaques similaires

À lire aussi

1 commentaires

 
GN⁺ 2026-02-03
Avis de Hacker News

  • J’estime être plutôt à l’abri de ce genre de problème grâce à une discipline de pare-feu qui bloque l’accès à Internet des programmes qui n’en ont pas réellement besoin
    Un éditeur de texte n’a absolument aucune raison d’accéder à Internet
    Je ne fais les mises à jour qu’avec winget, et je récupère la plupart des installateurs depuis GitHub. Si je comprends bien, les modifications de paquets ne peuvent se faire que via des PR. Ce n’est pas parfait, mais j’ai plutôt confiance

    • Je pense que des cas comme la vérification des mises à jour ou le téléchargement de plugins nécessitent exceptionnellement un accès à Internet
    • Sur macOS, Little Snitch est très utile. Il indique immédiatement à quelles IP ou quels domaines une application se connecte, et permet facilement d’autoriser, bloquer ou définir des règles
    • Je me demande quel logiciel de pare-feu vous utilisez. Je me dis moi aussi qu’il est peut-être temps d’en utiliser un

  • J’ai repoussé les mises à jour et j’utilise encore la version 8.5.8, donc je me demande si, au final, je me retrouve dans une situation plus sûre
    J’aimerais avoir des informations concrètes sur ce qui est réellement arrivé aux personnes ayant reçu la mise à jour infectée
    S’il existait un outil pour vérifier la somme de contrôle des fichiers Notepad++ installés, ce serait utile
    En plus, le communiqué contient tellement de fautes de frappe que je me demande presque s’il n’a pas été écrit par des hackers soutenus par un État. Et si la nouvelle version était elle aussi malveillante ?

    • Ça me rappelle les professeurs à l’université qui donnaient des devoirs pleins de bugs. Du coup, j’attendais toujours que d’autres essaient d’abord et disent que tout allait bien
      J’aimerais qu’il existe un système de web of trust où des amis testeraient les mises à jour avant moi, et dont je pourrais faire confiance au verdict
    • Je ne pense pas que la version la plus récente soit toujours la plus sûre. Tant qu’il n’y a pas de faille connue, une ancienne version peut au contraire être plus stable
    • D’après le site officiel de Notepad++, l’incident aurait commencé en juin 2025
      Les versions 8.8.1 et antérieures seraient sûres. Les sommes de contrôle SHA256 de chaque version sont publiées sur GitHub
    • Une ancienne version n’est pas toujours mauvaise. Une mise à jour peut au contraire faire baisser la qualité
      Il est plus important de relire le code soi-même que d’activer les mises à jour automatiques
    • Je désactive les mises à jour automatiques pour toutes les applications qui ne communiquent pas directement avec Internet (mail, navigateur, OS, etc.)
      Je pense qu’une application quelconque a bien plus de chances d’être compromise par une mise à jour malveillante. Je ne fais les mises à jour que manuellement de temps en temps

  • C’est grâce à Chocolatey que j’ai évité cette attaque
    Le mainteneur avait codé en dur la somme de contrôle SHA256 et n’utilisait pas WinGuP du tout

  • C’est dans ce genre de situation qu’on voit l’avantage des gestionnaires de paquets
    Comme on ne sait pas si le serveur de mise à jour est vulnérable ni si la vérification des sommes de contrôle est correctement faite, je ne fais pas confiance aux fonctions de mise à jour intégrées
    À la place, je gère ça avec choco update notepadplusplus ou winget upgrade Notepad++.Notepad++

  • Cet incident est probablement lié à l’annonce de Notepad++ à propos de Taïwan

    • Notepad++ intègre depuis longtemps des messages politiques dans ses mises à jour. Le projet a déjà affiché des prises de position liées à Taïwan, à l’Ukraine, etc.
    • Il y a aussi eu autrefois l’édition Free Uyghur Edition. Je me souviens qu’à l’époque les issues GitHub avaient été inondées de messages en chinois
    • Cette attaque semble avoir visé non pas le développeur, mais un groupe d’utilisateurs spécifique
    • Je ne pense pas qu’il soit approprié d’introduire des discussions politiques dans la documentation d’un projet open source. L’auteur en a le droit, mais cela peut aussi nuire au projet
    • L’attitude de la Chine continentale qui cherche à intégrer Taïwan par la force me semble problématique
      Mais je pense que les logiciels devraient être séparés de la politique. Même si l’on partage l’objectif politique, le mélanger au code n’est pas nécessaire

  • Les outils génériques maintenus par de petites équipes m’inquiètent toujours
    Même si seule une partie des installations est piratée, une attaque de supply chain peut mettre en danger un grand nombre d’entreprises

    • Si vous êtes sur macOS, je pense qu’il faut absolument utiliser Little Snitch
      On peut aussi analyser directement le trafic avec des outils comme Wireshark ou Burp Suite
      Ce type de pare-feu existe aussi sur Windows et Linux
    • Les fonctions de mise à jour automatique sont inquiétantes du point de vue de la sécurité. Pour bien les implémenter, il faut énormément d’efforts d’ingénierie, ce que la plupart des entreprises ne font pas
    • Ce n’est pas parce qu’on est une grande entreprise qu’on est immunisé contre ce genre d’attaque. Si on baisse la garde, on se fait avoir pareil

  • Il semble que le trafic de certains utilisateurs ait été redirigé vers des serveurs d’attaque, où ils ont reçu un manifeste de mise à jour malveillant
    Je me demande quels utilisateurs ont été visés, mais l’article se contente de dire qu’il s’agirait de hackers soutenus par l’État chinois

    • Les principales cibles étaient probablement des IP d’universités, d’entreprises et d’administrations
    • Il est aussi possible que seules certaines personnes aient été vulnérables, car la procédure de vérification des mises à jour de certaines anciennes versions de Notepad++ était insuffisante
    • On ne sait pas qui a piraté le serveur. Au final, dès qu’on parle d’« acteur étatique », plus personne ne vérifie rien

  • Je me demande surtout comment les systèmes visés ont réellement été compromis

    • Les détails figurent dans un article de Heise et l’analyse de DoublePulsar
      Les versions antérieures à 8.8.7 utilisaient un certificat auto-signé, et sa clé avait été exposée sur GitHub
      L’attaque était une intrusion manuelle visant uniquement certains utilisateurs en Asie
      Plutôt que d’accuser uniquement l’hébergeur, je pense que le développeur porte aussi une part de responsabilité
    • Les attaques de supply chain font vraiment peur. J’ouvre souvent des fichiers sensibles dans Notepad++, donc je m’inquiète d’une éventuelle fuite
    • Il est probable que l’objectif ait été d’installer une porte dérobée via la mise à jour pour faire de la surveillance ou voler des données
    • On ne sait toujours pas clairement qui était ciblé. La communication officielle reste beaucoup trop vague

  • Au final, il reste la question : « Bon, et maintenant, je fais quoi avec Notepad++ ? »

    • Si vous utilisiez un gestionnaire de paquets, il y a de fortes chances que vous n’ayez pas été affecté par cette attaque. En revanche, si l’installateur lui-même est compromis, le risque demeure
    • Comme alternative, je recommande Kate de KDE. Il est installable via Chocolatey
    • Personnellement, je pense aussi que Gedit est une bonne option sous-estimée

  • Dès que j’installe un nouveau logiciel, je désactive la vérification des mises à jour
    Même si ce type d’attaque est rare, je considère qu’une requête de mise à jour expose l’empreinte de ma machine et sa localisation

    • Franchement, je ne comprends pas. Les failles d’exécution de code à distance finissent toujours par venir du fait qu’on autorise le logiciel à récupérer et exécuter du code à distance
    • Bien sûr, face à un niveau de surveillance du type Room 641A, il est difficile d’être totalement à l’abri, même en étant prudent
      L’important est de conserver un niveau de sécurité réaliste grâce au threat modeling
    • Mais à l’inverse, il reste aussi la question de savoir comment gérer l’exposition aux vulnérabilités quand on ne fait pas les mises à jour