После атаки на цепочку поставок Notepad++ вводит «двойную блокировку»

После атаки на цепочку поставок Notepad++ вводит «двойную блокировку»

После атаки на цепочку поставок Notepad++ вводит «двойную блокировку»

Разработчики Notepad++ усилили защиту механизма обновлений после недавнего инцидента с компрометацией цепочки поставок. В версии 8.9.2, представленной накануне, внедрена новая «двойная блокировка» (double-lock) для проверки обновлений. Работа над нововведением началась ещё в версии 8.8.9, тогда добавили проверку подписи установщика, загружаемого с GitHub.

Теперь же система стала двухступенчатой. Помимо проверки подписанного инсталлятора, редактор также проверяет цифровую подпись XML-файла, который возвращает сервер обновлений с домена notepad-plus-plus.org (используется XMLDSig).

По словам команды проекта, сочетание двух механизмов делает процесс обновления более устойчивым и «фактически неэксплуатируемым».

Заодно разработчики внесли и другие изменения в автообновление:

  • удалили libcurl.dll, чтобы исключить риск сторонней загрузки DLL;
  • убрали небезопасные SSL-опции CURLSSLOPT_ALLOW_BEAST и CURLSSLOPT_NO_REVOKE;
  • ограничили управление плагинами, теперь исполняемые файлы должны быть подписаны тем же сертификатом, что и WinGUp.

При желании автообновление можно отключить: либо при установке через интерфейс, либо развернув MSI-пакет с параметром NOUPDATER=1.

Повод для таких мер серьёзный. Ранее Notepad++ совместно с исследователями Rapid7 сообщил о компрометации инфраструктуры обновлений. Атака продолжалась около шести месяцев и была приписана группировке Lotus Blossom, которую связывают с Китаем.

С июня 2025 года злоумышленники получили доступ к хостинг-провайдеру, обслуживавшему сервер обновлений Notepad++, и выборочно перенаправляли запросы определённых пользователей на вредоносные серверы. Уязвимость заключалась в слабой проверке обновлений в старых версиях редактора. Кампания продолжалась до 2 декабря 2025 года, когда её удалось обнаружить.

По данным Rapid7, в цепочке атаки использовался кастомный бэкдор под названием Chrysalis.

После раскрытия инцидента проект сменил хостинг-провайдера, обновил учётные данные и устранил выявленные слабые места. Теперь пользователям настоятельно рекомендуют обновиться до версии 8.9.2 и скачивать установщики только с официального сайта — notepad-plus-plus.org.

Google запустила новый режим установки сторонних приложений на Android

Google начала разворачивать новый усложнённый режим сайдлоадинга на сертифицированных Android-устройствах. Он позволит опытным пользователям устанавливать приложения от непроверенных разработчиков без ADB, но сначала придётся пройти небольшой бюрократический квест.

Пользователю нужно открыть скрытое меню для разработчиков, включить специальный переключатель, подтвердить личность, перезагрузить смартфон и подождать 24 часа.

Только после этого Android разрешит устанавливать приложения, авторы которых не прошли проверку Google.

На каждом таком приложении и его обновлении система всё равно будет показывать предупреждение. Продолжить установку можно кнопкой «Всё равно установить». Проходить весь обряд повторно не потребуется: Android запомнит решение пользователя и распространит его на другие связанные устройства.

Google намеренно сделала процедуру неудобной, чтобы мошенники не могли за пару минут уговорить владельца смартфона отключить защиту и поставить заражённое приложение. Для тех, кто не активирует расширенный режим, останется установка через ADB.

 

Изменения связаны с новой системой проверки разработчиков. Google будет привязывать приложения на сертифицированных устройствах (включая загруженные со сторонних площадок) к подтверждённому идентификатору автора.

С 30 сентября 2026 года проверка начнёт работать для Google Play, Galaxy Store, Honor App Market, Oppo App Market, Palm Store, V-Appstore и GetApps. В этом году требования введут в Бразилии, Индонезии, Сингапуре и Таиланде, а глобальное распространение запланировано на 2027 год.

Функция появляется постепенно и требует системной службы Android Developer Verifier.

RSS: Новости на портале Anti-Malware.ru