Anfang December 2025 veröffentlichte der Wartungsmitarbeiter von Notepad++, einem beliebten kostenlosen und Open-Source-Texteditor, einen Sicherheitshinweis , der ergab, dass einige Benutzer ihren Datenverkehr auf bösartige Server umgeleitet und über den Aktualisierungsprozess der Anwendung mit Malware infiziert wurden.
On December 2, 2025 veröffentlichte der Sicherheitsforscher Kevin Beaumont in seinem Blog über Gerüchte und eine Analyse des Änderungsprotokoll s Notepad++ v8,8,8 , das eine Sicherheitsverbesserung enthielt, die als „Verhindern, dass der Notepad++ Updater entführt wird“.
Der Autor von Notepad++, Don Ho, stellte eine Zusammenfassung der Ergebnisse der Vorfallreaktion über das 2. Februar 2026Update auf der Website der Software zur Verfügung. Der Zeitplan gemäß der Dokumentation von Ho sowie Sicherheitsforscher Kevin Beaumont lautet wie folgt:
Juni 2025 – 2. September, 2025:
- Hosting-Provider und Infrastruktur, die von Notepad++ verwendet wurde, wurde kompromittiert
- Eine Kernel-/Firmware-Aktualisierung auf den Zugriff des Angreifers 2. September abgetrennt
2. September 2025 – 2. Dezember, 2025:
- Angreifer verwendeten gestohlene Anmeldedaten für interne Hosting-Provider-Dienste, um weiterhin auf den Update-Datenverkehr von Notepad++ zuzugreifen und auf ihre bösartigen Server umzuleiten.
2025. November:
- V 8,8,8 wird mit dem Änderungsloghinweis freigegeben: „Verhindern, dass Notepad++ Updater entführt wird“.
1-2. Dezember 2025:
- Der Notepad++-Entwickler migriert die Dienste zu einem neuen Hosting-Anbieter.
- Ehemaliger Hosting-Provider dreht Anmeldeinformationen und beseitigt Schwachstellen, um weiteren Zugriff/Neuangriff zu verhindern.
- Der Blog von Kevin Beaumont wird mit zusätzlichen Details veröffentlicht, einschließlich einer Behauptung, dass die frühesten Opfer über praktische Aktivitäten des Bedrohungsakteurs in Oktober 2025 („vor zwei Monaten“) berichteten.
9. Dezember, 2025:
- V8,8,9 wird mit zusätzlicher Aushärtung freigegeben.
2. Februar, 2026:
- Don Ho veröffentlicht das Update mit weiteren Details über die staatlich geförderte Natur des Angriffs.
- Rapid7 Labs und das Rapid7 MDR-Team veröffentlichen Details zur Kampagne und zum Verhalten nach der Nutzung
Das Problem wurde im Dezember behoben , aber zusätzliche Details über den Verstoß wurden später vom Notepad++-Entwickler Don Ho am veröffentlicht 2. Februar 2026.
Wie in Hos Update vom Februar erwähnt, war das Targeting des Angreifers „hochselektiv“, was für die meisten Organisationen eine gute Nachricht ist.
Bei der Überprüfung dieser Schwachstelle sind mehrere wichtige Fakten zu beachten:
- Angreifer hatten von ca. Juli bis Dezember 2025 Zugriff auf die unterstützende Infrastruktur für Notepad++.
- Die Kompromittierung der unterstützenden Infrastruktur wurde behoben und zusätzliche Schutzmaßnahmen innerhalb der Anwendung wurden von implementiert 9. Dezember 2025.
- Es wurden keine zusätzlichen Untersuchungen veröffentlicht, die darauf hindeuten, dass dieser Angriff über fortgesetzt wurde 9. Dezember 2025.
Während der Angriff „abgestanden“ sein kann, gibt es Lektionen und Best Practices, die zu implementieren sind, um die Wahrscheinlichkeit zukünftiger Lieferkettenangriffe wie dieser in Ihrem Unternehmen zu reduzieren.
Wie Tanium helfen kann
Stellen Sie die folgende Tanium-Frage, um Ihre Umgebung zu erweitern, um Versionen von Notepad++ zu identifizieren:
<code>Installierte Anwendungsversion abrufen[Notepad++] < 8,8,9 von allen Entitäten </code>Für weitere Details darüber, welche Versionen an bestimmten Daten in Ihrer Umgebung installiert wurden, stellt Tanium Asset detaillierte Informationen zur Produktnutzung bereit. Die folgende Frage:
<code>Asset-SIU abrufen – Details zur Nutzung installierter Produkte[Notepad++,Notepad++ Team] von allen Entitäten mit Asset-SIU – Details zur Nutzung installierter Produkte[Notepad++,Notepad++ Team]:Name enthält Notepad++</code>
Tanium Ask
Tanium Ask kann den Zustand Ihrer Umgebung und Oberflächendetails zu gefährdeten Versionen mit einer Aufforderung zusammenfassen, wie z. B.:
<code>Identifizieren Sie die Windows-Endpunkte mit installierten Anwendungsnamen, die "Notepad++" und Versionen < 8,9,1 enthalten.</code>
Tanium Ask kann den Prozess der Konfiguration einer Softwarebereitstellung schnell automatisieren, um alte Versionen von Notepad++ zu aktualisieren und angemessen anzuvisieren. Nachdem Sie die gefährdeten Versionen durchgesehen haben, können Sie auffordern, Bereitstellungen von Tanium Deploy zu erstellen, um die Software auf die neueste Version des Notepad++-Pakets aus der Bereitstellungspaketgalerie zu aktualisieren:
<code>Erstellen Sie für diese Endpunkte eine Bereitstellung, um diese Versionen mit dem neuesten Notepad++-Paket zu aktualisieren, das in der Paketgalerie verfügbar ist.</code>
Weitere Informationen zu Tanium Ask finden Sie im Benutzerhandbuch für Tanium Console für Tanium Cloud.
Tanium Asset Software Inventory and Usage (SIU)
Angesichts des Alters des Angriffs und der Informationen aus dem Juli sind Sie möglicherweise daran interessiert, Ihre Umgebung zu analysieren, um Ihre Exposition während des aktiven Angriffsfensters vom Juli – besser zu verstehen Dezember 2025.
Tanium Asset Software Inventory and Usage (SIU) bietet Einblick in die Daten der ersten gesehenen, ersten verwendeten und letzten verwendeten Version von Notepad++ in Ihrer Organisation. Um diese Informationen zu überprüfen, navigieren Sie zu Asset > Softwarebestand und -nutzung > Alle Produkte und filtern Sie nach Notepad++.
Erweitern Sie die Ergebnisse, indem Sie auf die zweite Spalte klicken, um zusätzliche Details anzuzeigen.
Hinweis: Asset SIU erkennt installierte Produkte über den traditionellen Pfad im Register und tragbare Produkte über die ausführbare Datei selbst. In den meisten Fällen stimmt der Anbietername sowohl in den ausführbaren Metadaten als auch im Registrierungseintrag überein, jedoch kann Notepad++ eine Ausnahme davon darstellen. Asset SIU zeigt manchmal ein Produkt Notepad++ mit einem Anbieter „Don HO don.h@free.fr“ an; dies ist ein Artefakt der Zusammenstellung von Notepad++ und ist keine separate oder tragbare App und kein Hinweis auf eine Kompromittierung in diesem Szenario.
Um diese Informationen über Interact anzuzeigen, führen Sie die folgende Tanium-Frage aus:
<code>Asset-SIU abrufen – Details zur Nutzung installierter Produkte[Notepad++,Notepad++ Team] von allen Entitäten mit Asset-SIU – Details zur Nutzung installierter Produkte[Notepad++,Notepad++ Team]:Name enthält Notepad++</code>
Deploy
Tanium Deploy enthält Inhalte zum Aktualisieren und Deinstallieren von Notepad++. Sie können das entsprechende Paket importieren und konfigurieren, um die Anwendung von Endpunkten in Ihrer Umgebung zu installieren, zu aktualisieren oder zu entfernen. Weitere Informationen zur Nutzung von Tanium Deploy finden Sie im Benutzerhandbuch für Tanium Deploy.
Eine Notiz von Tanium Product Security
Außerhalb der manuellen Konfiguration oder Änderungen werden Kunden, die Tanium Deploy für Notepad++-Updates verwenden, derzeit nicht offengelegt. Tanium wird weiterhin überwachen. Bitte wenden Sie sich für weitere Informationen an den Support.
