Angriff auf Software-Lieferkette Chinesische Hacker schleusten Malware über Notepad++ ein

Anbieter zum Thema

MicroConsult Academy GmbH

emlix GmbH

RTI Real-Time Innovations

Ein gezielter Angriff auf den Update-Mechanismus des beliebten Open-Source-Tools Notepad++ zeigt, wie gefährlich kompromittierte Lieferketten sind – selbst dann, wenn die eigentliche Software keinen eigenen Bug enthält.

Der Fall Notepad++ ist ein Lehrstück für moderne Angriffe auf die Software-Lieferkette: Über Monate hinweg nutzten Angreifer den offiziellen Update-Pfad, um ausgewählten Zielen manipulierte Updates unterzuschieben. Das haben die Macher hinter dem beliebten Open-Source-Texteditor Notepad++ nun bestätigt.

Das eigentliche Produkt war dabei nicht der Schwachpunkt. Im Zentrum stand der Updater WinGUp. In älteren Versionen prüfte er heruntergeladene Updates nicht ausreichend auf Signaturen und Zertifikate. Angreifer konnten diesen Umstand ausnutzen, um scheinbar legitime Binärdateien auszuliefern, die in Wahrheit Schadcode enthielten.

Kompromittierte Infrastruktur statt fehlerhafter Software

Bereits im Dezember 2025 hatte das Team hinter Notepad++ auf die bekannt gewordene Schwachstelle hingewiesen, Die späteren Untersuchungen zeigten, dass der Angriff nicht auf einer klassischen Code-Schwachstelle im Texteditor selbst beruhte. Stattdessen wurde die Hosting-Infrastruktur kompromittiert, über die Update-Anfragen liefen. Der Datenverkehr bestimmter Nutzer wurde gezielt umgeleitet.

Bereits im Juni 2025 hätten demnach die böswilligen Akteure die Schwachstelle identifiziert und in Angriff genommen. Der Shared-Hosting-Server war Sicherheitsforschern zufolge ab dem 2. September kompromittiert. Dadurch landeten einzelne Organisationen auf von den Angreifern kontrollierten Servern, die manipulierte Update-Manifeste auslieferten. Diese Selektivität erklärt, warum der Angriff lange unentdeckt blieb und keine Masseninfektion auslöste.

Besonders brisant ist der Befund, dass der offizielle Update-Prozess selbst als Vertrauensanker missbraucht wurde. Für betroffene Systeme sah der Vorgang wie ein normales Update aus, inklusive automatischem Download und Ausführung.

„Obwohl die bösartigen Akteure den Zugriff auf den Server am 2. September 2025 verloren haben, hatten sie Zugangsdaten der internen Dienste auf dem Server, bis zum 2. Dezember 2025. Die hätten ihnen die Umleitung von Traffic zu ‚https://notepad-plus-plus.org/getDownloadUrl.php‘ auf ihre eigenen Server ermöglichen und die Auslieferung einer Update-Download-URL mit kompromittierten Updates ermöglichen können“, heißt es aus Angaben des Hosting-Providers. Die Auswertung von Logs hatte ergeben, dass die Angreifer gezielt nach Notepad++ gesucht hatten und Anwender dieser Software unter Ziel nahmen. Am 2. Dezember konnten die Systeme etwa durch Schließen von Schwachstellen und Passwortwechsel gesichert werden.

SBOM, CI/CD-Pipeline & mehr

7 Maßnahmen für sichere Software-Lieferketten

Staatliche Akteure und gezielte Spionage

Analysen von Sicherheitsforschern ordnen die Kampagne einer chinesischen Gruppe zu, die unter dem Namen Lotus Blossom geführt wird. Die eingesetzte Backdoor „Chrysalis“ gilt als technisch ausgereift und klar auf dauerhaften Zugriff ausgelegt. Untersucht wurde sie unter anderem von Rapid7.

Die Ziele lagen vor allem in sensiblen Branchen wie Telekommunikation, Luftfahrt, kritischer Infrastruktur und Medien. In mehreren Fällen erlangten die Angreifer direkten interaktiven Zugriff auf kompromittierte Systeme, sogenanntes „hands-on keyboard“.

Der Entwickler reagierte mit strukturellen Änderungen. Notepad++ wurde zu einem neuen Hosting-Provider umgezogen, der Updater prüft nun konsequent Signaturen und Zertifikate, und auch die Update-Metadaten sind signiert. Nutzer wurden ausdrücklich aufgefordert, Updates manuell einzuspielen.

Für Softwareentwickler und Security-Verantwortliche liegt die zentrale Lehre woanders: Selbst wenn der eigene Code sauber ist, bleibt die Lieferkette ein hochattraktives Ziel. Update-Server, Build-Pipelines, Hosting-Partner und Zertifikatsprozesse müssen als Teil der Angriffsfläche betrachtet werden.

Der Vorfall reiht sich damit in bekannte Supply-Chain-Angriffe ein, etwa auf SolarWinds. Er zeigt eindrücklich, dass Vertrauen in Software nicht am Quellcode endet, sondern bei der gesamten Infrastruktur beginnt.(sg)

Akteure, Taktiken und Abwehr von Supply Chain Attacks – Teil 1

Angriffe auf die Softwarelieferkette

Akteure, Taktiken und Abwehr von Supply Chain Attacks – Teil 2

Die Verteidigung der Softwarelieferkette

(ID:50701681)