מפתחי Notepad++: מנגנון העדכון נחטף כחצי שנה, ומשתמשים נבחרים קיבלו התקנה זדונית
ב-2 בפברואר 2026 הודיעו מפתחי Notepad++ שתוקפים יירטו את תנועת העדכון של העורך מיוני עד דצמבר 2025. Rapid7 ו-Kaspersky מתארות דלת אחורית בשם Chrysalis ופגיעה בכתריסר מחשבים.
TL;DR בקצרה
- המפתחים הודיעו ב-2 בפברואר 2026 שתנועת העדכון של notepad-plus-plus.org הופנתה בהתקפה ברמת חברת האחסון, מיוני עד 2 בדצמבר 2025.
- לפי Kaspersky, כתריסר מחשבים נפגעו: אנשים פרטיים בווייטנאם, באל סלבדור ובאוסטרליה, וגם גופים בפיליפינים, באל סלבדור ובווייטנאם.
- Rapid7 מייחסת את הדלת האחורית Chrysalis ברמת ביטחון בינונית לקבוצה הסינית Lotus Blossom.
- הגרסה המומלצת היא 8.9.1 ומעלה, בהורדה ידנית מהאתר הרשמי. גרסה 8.9.2 אוכפת בדיקת חתימה גם של ה-XML של העדכון.
מפתחי Notepad++ הודיעו ב-2 בפברואר 2026 שמנגנון העדכון של העורך נחטף במשך כחצי שנה. לדבריהם, תוקפים הפנו משתמשים מסוימים לשרתי עדכון משלהם. שם הם קיבלו התקנה זדונית במקום העדכון האמיתי.
המפתחים חשפו את הפרשה בהודעה באתר הפרויקט, וגם The Record דיווחה עליה באותו יום. לפי The Record יש לעורך מיליוני משתמשים בעולם. אם הוא מותקן אצלכם, כדאי להמשיך לקרוא.
Notepad++ ועדכונים שנחטפו: מה קרה בפועל
המפתחים מדגישים שהבעיה לא הייתה בקוד של Notepad++. התוקפים פעלו ברמת התשתית, אצל חברת האחסון המשותף של האתר. משם הם יירטו תנועת עדכון שנועדה ל-notepad-plus-plus.org.
העורך מתעדכן דרך רכיב בשם WinGUp. בגרסאות ישנות הרכיב לא אימת מספיק את מה שהוריד. לפי המפתחים, התוקפים ניצלו את חוסר הבקרה הזה.
ההתקפה התחילה ביוני 2025. לפי חברת האחסון, השרת עצמו היה פרוץ עד 2 בספטמבר 2025. אחר כך התוקפים איבדו אותו. עם זאת הם שמרו פרטי גישה לשירותים פנימיים עד 2 בדצמבר. כך המשיכו להפנות חלק מהתנועה.
ההפניה הייתה סלקטיבית. המפתחים אומרים שזו לא מתקפה המונית, ושהיא לא פגעה בכל המשתמשים. הם לא מסרו את מספר הקורבנות.
מי היו הקורבנות ומה הריצו התוקפים אצלם
Kaspersky פרסמה ב-3 בפברואר ממצאים משלה. לפי החברה, עדכונים זדוניים פעלו בערך מסוף יולי עד אוקטובר 2025. הם פגעו בכתריסר מחשבים בלבד.
בין הקורבנות היו אנשים פרטיים בווייטנאם, באל סלבדור ובאוסטרליה. היו גם גוף ממשלתי בפיליפינים, גוף פיננסי באל סלבדור וספק שירותי IT בווייטנאם.
לדברי Kaspersky, התוקפים החליפו שרתים, מורידים וקוד זדוני בערך מדי חודש. בשרשראות הראשונות הם הפעילו Cobalt Strike, כלי שליטה מרחוק שתוקפים משתמשים בו הרבה. באוקטובר 2025 עברו לדלת אחורית בשם Chrysalis.
Rapid7 תיארה את Chrysalis ב-2 בפברואר. היא הגדירה אותה דלת אחורית מותאמת שלא תועדה בעבר. לדבריה, התוקפים הם כנראה הקבוצה הסינית Lotus Blossom, ברמת ביטחון בינונית.
Rapid7 מצאה רצף ברור אצל קורבן: notepad++.exe, אחריו GUP.exe ואחריו update.exe שהורד מכתובת חיצונית. עם זאת, היא לא מצאה הוכחה ישירה לדרך שבה התוקפים ניצלו את מנגנון העדכון.
update.exe הוא מתקין מסוג NSIS. הוא מסתיר בתוך AppData תיקייה בשם Bluetooth. משם הוא מפעיל את BluetoothService.exe, רכיב לגיטימי של Bitdefender ששינו את שמו. הרכיב הזה טוען ספרייה זדונית בשם log.dll.
הייחוס לגורם סיני מבוסס על הערכות. המפתחים מצטטים חוקרים שמעריכים שזו קבוצה בחסות מדינה סינית, בלי לנקוב בשמותיהם. The Record מציינת שייחוס כזה קשה לאימות.
WinGUp ו-Notepad++ 8.9: מה תיקנו המפתחים
המפתחים עברו לחברת אחסון חדשה והקשיחו את העדכונים. בגרסה 8.8.9 הרכיב WinGUp מאמת את התעודה ואת החתימה של ההתקנה שהורדה. גם תשובת ה-XML של שרת העדכון חתומה.
המפתחים ממליצים להוריד ידנית את גרסה 8.9.1 מהאתר הרשמי ולהתקין אותה. הם מוסיפים שגרסה 8.9.2 תאכוף את בדיקת התעודה והחתימה. לפי הודעתם היא צפויה כחודש אחרי הפרסום.
מה קרה מאז: ב-18 בפברואר 2026 דיווחה Help Net Security שגרסה 8.9.2 כבר יצאה. לפי הדיווח היא מאמתת גם את ה-XML החתום, שמורה לעדכון מאיפה להוריד.
מה זה אומר עבורכם
- עדכנו ידנית: היכנסו לאתר הרשמי של Notepad++, הורידו גרסה 8.9.2 ומעלה והתקינו אותה. אל תסתמכו על העדכון האוטומטי של גרסה ישנה.
- חפשו עקבות במחשב: בדקו אם קיימת בתיקיית AppData תיקייה בשם Bluetooth עם הקובץ BluetoothService.exe. Kaspersky מזכירה גם את התיקיות ProShow ו-Adobe\Scripts.
- בארגון, חפשו אינדיקטורים: השוו יומני רשת ותחנות קצה לכתובות ולגיבובים ש-Rapid7 ו-Kaspersky פרסמו. Rapid7 ממליצה לבדוק את התקופה שבין יוני לנובמבר 2025.
- הפעילו תיעוד פקודות: Kaspersky ממליצה לאסוף אירועי Windows 4688 עם שורות הפקודה. כך אפשר לראות אילו תהליכים הפעיל העורך.
- אם מצאתם עקבות: בודדו את המחשב מהרשת והחליפו סיסמאות שהוקלדו בו. זו הנחיה כללית ולא מקור מצוטט.
מה הלאה
המפתחים עדיין לא פירטו את היקף הפגיעה. Kaspersky ו-Rapid7 מתארות פגיעה סלקטיבית, ולכן אפשר שלא כל הנפגעים התגלו.
מי שהתקין את העורך לפני 2026 ולא עדכן ידנית, כדאי שיבדוק עכשיו את הגרסה שלו.
מקורות והרחבה
- Notepad++ hijacked incident info updateNotepad++
- Popular text editor hijacked by suspected state-sponsored hackersThe Record
- The Chrysalis Backdoor: A Deep Dive into Lotus Blossom's toolkitRapid7
- Notepad++ supply chain attackKaspersky Securelist
- Notepad++ secures update channel in wake of supply chain compromiseHelp Net Security
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
