Hackers sequestram atualização oficial do Notepad++ e distribuem malware

O mantenedor do Notepad++ confirmou que hackers com ligação a um Estado-nação conseguiram sequestrar o mecanismo oficial de atualização do editor de texto, redirecionando o tráfego de updates para servidores maliciosos. Segundo Don Ho, desenvolvedor do projeto, o incidente não teve origem em falhas no código do aplicativo, mas sim em um comprometimento em nível de infraestrutura no provedor de hospedagem responsável pelo site oficial do software.

De acordo com Ho, os invasores exploraram o ambiente do provedor para interceptar as comunicações destinadas ao domínio notepad-plus-plus.org, permitindo que arquivos maliciosos fossem entregues no lugar das atualizações legítimas. O método exato utilizado no ataque ainda está sob investigação, mas tudo indica que se tratou de um ataque sofisticado à cadeia de suprimentos, mirando usuários selecionados.

O caso veio à tona pouco mais de um mês após o lançamento da versão 8.8.9 do Notepad++, criada justamente para corrigir um problema no WinGUp, o mecanismo de atualização da ferramenta. Essa falha fazia com que, em determinadas situações, o tráfego de atualização fosse redirecionado para domínios maliciosos, resultando no download de executáveis adulterados. O problema estava relacionado à forma como o atualizador verificava a integridade e a autenticidade dos arquivos baixados, o que possibilitava a substituição do binário legítimo por malware quando o tráfego era interceptado.

As evidências apontam que o ataque foi altamente direcionado. Apenas usuários específicos tiveram suas conexões redirecionadas para servidores controlados pelos hackers, onde componentes maliciosos eram entregues. A avaliação inicial indica que a campanha teve início em junho de 2025, permanecendo ativa por mais de seis meses antes de ser descoberta.

O pesquisador independente Kevin Beaumont afirmou que a falha vinha sendo explorada por hackers localizados na China, com o objetivo de comprometer redes e enganar as vítimas para que instalassem malware. Como resposta ao incidente, o site oficial do Notepad++ foi migrado para um novo provedor de hospedagem. Segundo Ho, o servidor compartilhado anterior permaneceu comprometido até setembro de 2025 e, mesmo após a perda de acesso direto, os invasores mantiveram credenciais válidas em serviços internos até dezembro do mesmo ano, o que permitiu a continuidade dos redirecionamentos maliciosos.