El desarrollador de Notepad++ ha confirmado que un ataque dirigido por un actor de amenazas patrocinado por el Estado chino comprometió la antigua infraestructura de alojamiento compartido del proyecto entre junio y diciembre de 2025. La brecha permitió a los atacantes interceptar y redirigir selectivamente el tráfico de actualizaciones a servidores maliciosos, explotando una vulnerabilidad en la forma en que el software validaba los paquetes de actualización

El desarrollador de Notepad++ ha confirmado que un ataque dirigido por un actor de amenazas probablemente patrocinado por el estado chino comprometió la antigua infraestructura de alojamiento compartido del proyecto entre junio y diciembre de 2025. La brecha permitió a los atacantes interceptar y redirigir selectivamente el tráfico de actualizaciones a servidores maliciosos, explotando una debilidad en cómo el software validaba los paquetes de actualización antes del lanzamiento de la versión 8.8.9.

Secuestro a nivel de infraestructura

Según el análisis forense realizado por expertos en seguridad independientes y el antiguo proveedor de alojamiento, el compromiso ocurrió a nivel de infraestructura en lugar de a través de una vulnerabilidad en el código base de Notepad++. Los atacantes obtuvieron acceso al servidor de alojamiento compartido, lo que les permitió interceptar solicitudes destinadas a notepad-plus-plus.org. El ataque se centró específicamente en el script getDownloadUrl.php utilizado por el actualizador de la aplicación. Al controlar este punto final, los actores de amenazas podían redirigir selectivamente a usuarios específicos a servidores controlados por los atacantes que alojaban binarios maliciosos. Estos payloads maliciosos se servían en lugar de la actualización legítima, aprovechando que las versiones antiguas del actualizador (WinGUp) no aplicaban estrictamente la validación de certificados y firmas para los instaladores descargados. Múltiples investigadores de seguridad independientes han evaluado que la campaña fue probablemente llevada a cabo por un grupo patrocinado por el estado chino. El objetivo se describió como "altamente selectivo", enfocándose en usuarios específicos en lugar de una infección masiva de la cadena de suministro. El compromiso abarcó aproximadamente seis meses, con el proveedor de alojamiento identificando dos fases distintas de acceso no autorizado:

Fecha	Descripción del evento
Junio 2025	Compromiso inicial: Los atacantes obtienen acceso al servidor de alojamiento compartido.
2 de septiembre de 2025	Pérdida de acceso al servidor: Una actualización de mantenimiento programada (kernel/firmware) por parte del proveedor cortó el acceso directo de los atacantes al servidor.
2 de septiembre – 2 de diciembre de 2025	Persistencia mediante credenciales: Los atacantes mantuvieron el acceso a través de credenciales de servicio internas robadas, permitiendo la redirección continua del tráfico a pesar de perder el control del servidor.
10 de noviembre de 2025	Fin del ataque (estimado): Los expertos en seguridad observaron que la campaña de ataque activa parecía detenerse alrededor de esta fecha.
2 de diciembre de 2025	Acceso terminado: El proveedor de alojamiento rotó todas las credenciales y completó el endurecimiento de la seguridad, bloqueando definitivamente a los atacantes.
9 de diciembre de 2025	Mitigación lanzada: Notepad++ v8.8.9 publicada con verificación de actualizaciones reforzada.

El proveedor de alojamiento confirmó que ningún otro cliente en el servidor compartido fue atacado; los atacantes buscaban específicamente el dominio de Notepad++. En respuesta al incidente, el sitio web de Notepad++ ha sido migrado a un nuevo proveedor con protocolos de seguridad mejorados. Para prevenir intentos de secuestro similares, Notepad++ versión 8.8.9 introdujo una validación estricta en WinGUp, requiriendo tanto una firma digital válida como un certificado coincidente para cualquier instalador descargado. Si estas verificaciones fallan, el proceso de actualización ahora se aborta automáticamente. De cara al futuro, el proyecto está implementando el estándar XMLDSig (Firma Digital XML) para los manifiestos de actualización. Este refuerzo garantizará que los datos XML devueltos por el servidor de actualizaciones estén firmados criptográficamente, evitando la manipulación de las URLs de descarga. Esta función está programada para ser obligatoria en la versión 8.9.2, que se espera lanzar en el próximo mes.

Fuentes:
https://cybersecuritynews.com/notepad-hijacked/