A Notepad++ elleni támadás teljes története: Amikor a bizalom válik fegyverré

A Notepad++ a világ egyik legnépszerűbb nyílt forráskódú szövegszerkesztője. Fejlesztők, rendszergazdák és hétköznapi felhasználók milliói használják nap mint nap. Pontosan ez a hatalmas felhasználói bázis tette az eszközt tökéletes célponttá egy kifinomult ellátási lánc (supply chain) támadás számára.

Mi is történt pontosan?

A támadás lényege nem az volt, hogy magát a Notepad++ forráskódját törték fel a GitHubon, hanem a szoftver köré épült ökoszisztémát használták ki. A támadók hamis weboldalakat és fertőzött bővítményeket (pluginokat) hoztak létre, amelyek megszólalásig hasonlítottak az eredetiekre.

A támadás anatómiája

A HackingPassion beszámolója szerint a művelet több lépcsőben zajlott:

1. Megtévesztő domainek: A hackerek olyan weboldalakat regisztráltak, amelyek neve csak egy-egy karakterben tért el a hivatalos notepad-plus-plus.org címtől (például typosquatting módszerrel).
2. A fertőzött telepítő: Ezeken az oldalakon a gyanútlan felhasználók egy olyan Notepad++ verziót töltöttek le, amely tartalmazott egy rejtett, kártékony DLL fájlt.
3. Digitális aláírások kijátszása: A támadók gyakran loptak el érvényes digitális tanúsítványokat, hogy a Windows biztonsági rendszerei "megbízhatónak" ismerjék fel a módosított telepítőt.

A kártevő működése

Miután a felhasználó telepítette a szoftvert, a háttérben egy Cobalt Strike vagy egy egyedi fejlesztésű Backdoor (hátsó ajtó) aktiválódott. Ez lehetővé tette a támadók számára, hogy:

• Távolról hozzáférjenek a fertőzött géphez.
• Ellopják a böngészőben tárolt jelszavakat és banki adatokat.
• Belső hálózati felderítést végezzenek a vállalati környezetekben.

Miért volt ez különösen veszélyes?

A Notepad++-t gyakran emelt szintű jogosultságokkal (Administrator) futtatják a fejlesztők és rendszergazdák, hogy konfigurációs fájlokat módosítsanak. Ha a program fertőzött, a kártevő azonnal megkapja ezeket a magas szintű jogosultságokat, így könnyedén kikapcsolhatja a vírusirtókat vagy titkosíthatja a fájlokat (Ransomware).

Hogyan védekezhetünk?

A Notepad++ esete rávilágított arra, hogy még a legmegbízhatóbb eszközök letöltésekor is résen kell lenni:

• Csak a hivatalos forrás: Mindig ellenőrizd az URL-t! A Notepad++ hivatalos oldala a https://notepad-plus-plus.org/.
• Hash ellenőrzés: A komolyabb szoftverek mellett ott van az SHA-256 ujjlenyomat. Telepítés előtt érdemes ellenőrizni, hogy a letöltött fájl ujjlenyomata egyezik-e a fejlesztő által megadottal.
• Bővítmények óvatos kezelése: Csak olyan plugint telepíts, amire valóban szükséged van, és ami ismert forrásból származik.

Tanulság

Az ellátási lánc támadások korában a bizalom nem elég. A Notepad++ elleni akció ismét bebizonyította, hogy a támadók nem a legerősebb kaput próbálják betörni, hanem a leggyengébb láncszemet keresik a szoftverelosztási folyamatban.

Forrás:HackingPassion.com - Notepad++ Supply Chain Attack Full Story