Gefährliche Sicherheitslücke: Hacker schleusen über Notepad++-Updater Malware ein
Der Entwickler des beliebten Texteditors Notepad++ warnt auf seiner Webseite(öffnet im neuen Fenster) vor einer gefährlichen Sicherheitslücke. Betroffen ist der Notepad++-Updater WinGUp. Angreifer können diesem manipulierte Updates unterschieben und damit Malware auf die Systeme der Anwender schleusen. Entsprechende Attacken wurden bereits beobachtet. Ein Patch steht bereit, sollte aber händisch installiert werden.
Für einen erfolgreichen Angriff muss ein Angreifer laut Meldung des Entwicklers in der Lage sein, in den Datenverkehr zwischen dem Zielsystem und der Update-Infrastruktur von Notepad++ einzugreifen. Es handelt sich also um einen Man-in-the-Middle-Angriff, bei dem der Angreifer eine bösartige Binärdatei als harmloses Notepad++-Updates tarnen kann.
Eine solche bösartige Datei wird den Angaben zufolge auf anfälligen Systemen automatisch heruntergeladen und ausgeführt. Möglich ist dies, weil WinGUp bei älteren Notepad++-Versionen Signatur und Zertifikat der jeweils heruntergeladenen Update-Datei nicht ordnungsgemäß überprüft.
Manuelles Update empfohlen
Zum Teil wurde das Problem schon mit der seit dem 18. November verfügbaren Notepad++-Version v8.8.8 adressiert, wie in einem früheren Beitrag des Entwicklers(öffnet im neuen Fenster) mitgeteilt wurde. Bei Version v8.8.9, veröffentlicht am 9. Dezember, wurde aber nochmals nachgebessert. Der Updater soll nun Signaturen und Zertifikate neuer Updates zuverlässig prüfen und die Aktualisierung abbrechen, sofern die Prüfung fehlschlägt.
Aufgrund der Natur der Sicherheitslücke wird Anwendern empfohlen, die neueste Notepad++-Version manuell aus dem Downloadbereich der Webseite des Projekts(öffnet im neuen Fenster) herunterzuladen und zu installieren. Dass noch weitere Patches folgen, ist nicht auszuschließen. Nach Angaben des Entwicklers dauern die Ermittlungen zur genauen Vorgehensweise der Angreifer noch an.
Weitere Angaben zu den laufenden Angriffen sind im Blog(öffnet im neuen Fenster) sowie einigen Mastodon-Beiträgen(öffnet im neuen Fenster) des Sicherheitsforschers Kevin Beaumont zu finden. Demnach wurde die Lücke bisher für sehr gezielte Angriffe auf mehrere Organisationen ausgenutzt. Der Blogbeitrag enthält auch ein paar nützliche Informationen, mit denen Admins feststellen können, ob Systeme bereits kompromittiert wurden.