Notizblock Plus Plus gilt eine doppelte Sperre für gepanzerte Updates zu Supply Chain Angriffen

Die Lehren, die durch die jüngste Entführung der Notepad + + Update-Infrastruktur hinterlassen wurden, können in der Lösung gelesen werden, die Ihr Entwicklungsteam eingesetzt hat: eine zweischichtige Verifikationslogik, die darauf abzielt, die Fenster zu schließen, die die Angreifer monatelang explodierten. Die Version, die dieses Design, die 8.9.2, landete mit Änderungen gedacht, so dass eine einfache Manipulation des Update-Servers nicht mehr genug ist, um die Installation von schädlichem Code zu zwingen.

Im Hintergrund war das Problem in den Supply-Chain-Kampagnen klassisch: Vertrauen basierte auf einem einzigen Link (der Server, der den Updates diente) und wenn diese Unterkunft kompromittiert wurde, konnte der bösartige Schauspieler bestimmte Benutzer auf Trapsserver umleiten. Laut der öffentlichen Forschung und Medienabdeckung dauerte die Intrusion mehrere Monate und endete eine Hintertür, die von den "Chrysalis "-Namen Angreifer verwendet. Für das Notepad + + Team war die Diagnose klar: das Update musste in etwas umgewandelt werden, das nicht von einem einzigen Fehlerpunkt abhängt. Sie können die offizielle Anzeige in der Versionshinweis lesen veröffentlicht von Notepad + + und die Abdeckung des Falles BlepingComputer.

Die zentrale Idee des neuen Mechanismus, den seine Führer als "Doppelschleuse" bezeichnet haben, kombiniert zwei verschiedene Kontrollen, die passieren müssen, bevor ein Update gilt. Zum einen die Überprüfung der in GitHub gehosteten Signatur des Installers; zum anderen die Überprüfung der digitalen Signatur der XML-Datei, die den offiziellen Domain-Update-Service zurückgibt. Diese zweite Schicht verwendet XML- (XMLDSig)-Signaturen, um sicherzustellen, dass das Update-Screen nicht geändert wurde, auch wenn der Server, der es liefert, manipuliert wurde. Die technische Spezifikation von XML Signatur hilft Ihnen zu verstehen, wie diese Überprüfung funktioniert: W3C - XML Signature.

Praktisch bedeutet dies, dass ein Angreifer gleichzeitig die Fähigkeit, gültige Installateure zu unterzeichnen (der private Schlüssel, der die Binaries markiert) und die Autorität, die die XML-Erscheinungen von der offiziellen Website unterschreibt. Diese Schwierigkeitsschwelle ist genau das, was die Verteidigung "viel robuster" gegen Angriffe macht, die ausschließlich auf die Handhabung von Dateiaufnahmen basieren.

Neben der doppelten Signatursteuerung umfasst das Update mehrere Korrekturen, die darauf abzielen, klassische Operationsvektoren zu reduzieren. libcurl.dll Bookstore wurde entfernt, um das Risiko zu minimieren DLL ide-loading, cURL-Optionen, die das TLS-Verhalten in früheren Versionen geschwächt wurden gelöscht, und die Ausführung von Plugin-Management-Operationen wurde auf Programme beschränkt, die mit dem gleichen Zertifikat wie das Update (WinGup) unterzeichnet wurden. Diese Änderungen versuchen Routen zu schließen, durch die eine legitime Komponente gezwungen werden kann, schädlichen Code zu laden oder auszuführen.

Die Antwort des Projekts blieb nicht in Codeänderungen: der Service wurde zu einem anderen Hosting-Anbieter migriert, Anmeldeinformationen wurden gedreht und die ausgenutzten Schwächen gespalten. Die Empfehlung, dass sowohl Entwickler als auch Analysten wiederholen, ist einfach und dringend: aktualisieren Sie auf Version 8.9.2 und laden Sie die Installateure immer von der offiziellen Domain herunter Notizblock-plus-plus.org. Die MSI-Installation ermöglicht es, die Komponente mit der NOUPDATER-Option auszuschließen = 1, zum Beispiel: msiexec / i npp.8.9.2.Installer.x64.msi NOUPDATER = 1.

Dieser Vorfall ist eine Erinnerung daran, wie die Software-Versorgungsketten heute funktionieren: Die Raffinesse der Angreifer ist gestiegen und daher müssen die Abwehrkräfte Redundanz und kryptographische Überprüfung auf mehreren Ebenen enthalten. Ein einziges digitales Siegel reicht nicht mehr aus, wenn der Liefervorgang eingegriffen werden kann; daher weist das Notepad + +-Ansatz auf die Notwendigkeit hin, dass jedes Update zwei unabhängige Steuerungen vor dem Laufen auf dem Gerät des Benutzers durchlässt.

Allerdings ist keine Anordnung allein unfehlbar. Die Gemeinschaft und die Organisationen sollten diese Verbesserungen mit bewährten Praktiken ergänzen: manuelle Überprüfung von Signaturen, soweit möglich, Beibehaltung von kontrollierten Bereitstellungspolitiken in kritischen Umgebungen und Überwachung von abnormalen Verhaltenssignalen nach einem Update. Und selbstverständlich verlassen Sie sich nur auf offizielle Quellen, wenn Sie Installateure herunterladen.

Wenn Sie das technische Detail und die Aussage der Forscher lesen möchten, die dazu beigetragen haben, die Kampagne zu zeigen, geben die verfügbaren Pressemitteilungen und die öffentliche Analyse Kontext der Taktik und Dauer des Angriffs. Die Nachrichten wurden von spezialisierten Mitteln und dem Projekt selbst, das diese Gegenmaßnahmen eingeleitet hat, um die Wahrscheinlichkeit zu reduzieren, dass so etwas wiederholt wird.

Zusammenfassend: Notepad + + + hat seinen Update-Prozess mit einer zweistufigen Überprüfung und anderen Sicherheitsmaßnahmen gehärtet; Update auf Version 8.9.2 und immer download von der offiziellen Website ist für jetzt die beste Aktion, die jeder Benutzer ergreifen kann.