Популярный текстовый редактор Notepad++ стал инструментом в масштабной кибератаке, длившейся на протяжении второго полугодия 2025 года. Разработчики программного обеспечения официально подтвердили факт компрометации систем, в результате которой злоумышленники получили возможность перехватывать управление обновлениями и распространять вредоносный код среди пользователей. Данный инцидент подчеркивает сохраняющуюся уязвимость цепочек поставок ПО даже у проверенных временем инструментов разработки.
Механика атаки и причастные группировки
Согласно результатам расследования, проведенного экспертами компании Rapid7, кампания по распространению вредоносных обновлений продолжалась в период с июня по декабрь 2025 года. Аналитики ИБ-сферы связывают эти действия с активностью группировки Lotus Blossom, которую специалисты традиционно ассоциируют с государственными структурами КНР.
В ходе атаки использовались следующие методы:
- Компрометация официальных серверов распространения патчей.
- Подмена легитимных исполняемых файлов их вредоносными аналогами.
- Использование доверенного статуса приложения для обхода систем защиты на конечных устройствах.
Цели и масштаб последствий
Инцидент не носил случайный характер; выбор Notepad++ как вектора атаки позволил злоумышленникам проникнуть в закрытые сети организаций через устройства системных администраторов и разработчиков. Учитывая широкую популярность редактора в профессиональной среде, охват потенциальных жертв оказался весьма значительным.
Основными мишенями киберпреступников стали организации в следующих секторах:
- Правительственные учреждения и ведомства.
- Телекоммуникационные компании.
- Авиационная промышленность и транспортная логистика.
- Объекты критической инфраструктуры и крупные медиахолдинги.
Реакция разработчиков и текущий статус
На данный момент разработчики Notepad++ совместно со специалистами по кибербезопасности устранили брешь в защите серверов обновлений. Пользователям настоятельно рекомендуется проверить установленные версии программы и убедиться в целостности контрольных сумм исполняемых файлов. Эксперты отмечают, что подобные атаки на цепочки поставок (supply chain attacks) становятся ключевым трендом в сфере промышленного шпионажа, требуя от вендоров ПО внедрения более жестких протоколов верификации кода.