После атаки на цепочку поставок Notepad++ вводит «двойную блокировку»

После атаки на цепочку поставок Notepad++ вводит «двойную блокировку»

После атаки на цепочку поставок Notepad++ вводит «двойную блокировку»

Разработчики Notepad++ усилили защиту механизма обновлений после недавнего инцидента с компрометацией цепочки поставок. В версии 8.9.2, представленной накануне, внедрена новая «двойная блокировка» (double-lock) для проверки обновлений. Работа над нововведением началась ещё в версии 8.8.9, тогда добавили проверку подписи установщика, загружаемого с GitHub.

Теперь же система стала двухступенчатой. Помимо проверки подписанного инсталлятора, редактор также проверяет цифровую подпись XML-файла, который возвращает сервер обновлений с домена notepad-plus-plus.org (используется XMLDSig).

По словам команды проекта, сочетание двух механизмов делает процесс обновления более устойчивым и «фактически неэксплуатируемым».

Заодно разработчики внесли и другие изменения в автообновление:

  • удалили libcurl.dll, чтобы исключить риск сторонней загрузки DLL;
  • убрали небезопасные SSL-опции CURLSSLOPT_ALLOW_BEAST и CURLSSLOPT_NO_REVOKE;
  • ограничили управление плагинами, теперь исполняемые файлы должны быть подписаны тем же сертификатом, что и WinGUp.

При желании автообновление можно отключить: либо при установке через интерфейс, либо развернув MSI-пакет с параметром NOUPDATER=1.

Повод для таких мер серьёзный. Ранее Notepad++ совместно с исследователями Rapid7 сообщил о компрометации инфраструктуры обновлений. Атака продолжалась около шести месяцев и была приписана группировке Lotus Blossom, которую связывают с Китаем.

С июня 2025 года злоумышленники получили доступ к хостинг-провайдеру, обслуживавшему сервер обновлений Notepad++, и выборочно перенаправляли запросы определённых пользователей на вредоносные серверы. Уязвимость заключалась в слабой проверке обновлений в старых версиях редактора. Кампания продолжалась до 2 декабря 2025 года, когда её удалось обнаружить.

По данным Rapid7, в цепочке атаки использовался кастомный бэкдор под названием Chrysalis.

После раскрытия инцидента проект сменил хостинг-провайдера, обновил учётные данные и устранил выявленные слабые места. Теперь пользователям настоятельно рекомендуют обновиться до версии 8.9.2 и скачивать установщики только с официального сайта — notepad-plus-plus.org.

Яндекс собрал единый антифрод: ботам и накрутчикам станет сложнее

Яндекс начал внедрять «Универсальный антифрод» — единую ИИ-платформу для борьбы с ботами, накрутками и другими видами цифрового мошенничества. Новая система позволяет подключить защиту к сервису за 2-4 дня. Раньше разработка отдельного решения могла занимать несколько месяцев.

К платформе уже подключены десятки сервисов Яндекса, включая Еду, Афишу, Путешествия и приложения с Алисой AI. Сценарии атак у них разные, но суть одна: мошенники пытаются обмануть алгоритмы и получить выгоду.

Например, в Афише система вычисляет ботов, которые массово бронируют билеты на популярные мероприятия. Так перекупщики создают искусственный дефицит, а затем выставляют билеты на других площадках — разумеется, уже с бодрой наценкой.

В Еде антифрод проверяет обращения в службу поддержки. Речь в том числе о случаях, когда злоумышленники многократно жалуются на один заказ в надежде получить компенсацию. После внедрения платформы сервис стал распознавать и блокировать такие обращения более чем в десять раз эффективнее.

В основе системы — нейросеть, аналитические методы и свыше 100 правил, описывающих основные классы атак. Платформа анализирует трафик в реальном времени и подбирает параметры защиты отдельно для каждого сервиса.

Главная фишка решения — централизованное обновление. Если Яндекс обнаружит новую мошенническую схему, защиту можно быстро распространить сразу на все подключённые продукты. Пока мошенники придумывают очередной хитрый план, антифрод уже готовится его испортить.

RSS: Новости на портале Anti-Malware.ru