Bloc-notes Plus Plus applique une double serrure aux mises à jour blindées des attaques de chaîne d'approvisionnement

Les leçons laissées par le détournement récent de l'infrastructure Notepad + + update peuvent être lues dans la solution même que votre équipe de développement a déployé : une logique de vérification à deux niveaux qui vise à fermer les fenêtres que les attaquants ont explosé pendant des mois. La version qui intègre ce design, le 8.9.2, a atterri avec des changements pensés de sorte qu'une simple manipulation du serveur de mise à jour ne suffit plus à forcer l'installation de code malveillant.

En arrière-plan, le problème était classique dans les campagnes de la chaîne d'approvisionnement: la confiance était basée sur un seul lien (le serveur qui a servi les mises à jour) et lorsque cet hébergement était compromis, l'acteur malveillant pouvait rediriger certains utilisateurs vers des serveurs pièges. Selon la recherche publique et la couverture médiatique, l'intrusion a duré plusieurs mois et a fini par révéler une porte de derrière utilisée par les agresseurs "Chrysalis". Pour l'équipe Notepad + +, le diagnostic était clair : la mise à jour devait être transformée en quelque chose qui ne dépendait pas d'un seul point d'échec. Vous pouvez lire l'annonce officielle dans la note de version publié par Notepad + + et la couverture de l'affaire Calculateur.

L'idée centrale du nouveau mécanisme, que ses dirigeants ont décrit comme une « double serrure », combine deux vérifications différentes qui doivent être effectuées avant qu'une mise à jour ne soit jugée valide. D'une part, la vérification de la signature de l'installateur hébergée dans GitHub ; d'autre part, la vérification de la signature numérique du fichier XML qui renvoie le service officiel de mise à jour du domaine. Ce deuxième calque utilise des signatures XML (XMLDSig) pour s'assurer que le manifeste de mise à jour n'a pas été modifié même si le serveur qui le livre a été manipulé. La spécification technique XML Signature vous aide à comprendre le fonctionnement de cette vérification : W3C - Signature XML.

Concrètement, cela signifie qu'un attaquant devrait simultanément compromettre la possibilité de signer des installateurs valides (la clé privée qui signe les binaires) et l'autorité qui signe le XML manifeste depuis le site officiel. Ce seuil de difficulté est précisément ce qui rend la défense « beaucoup plus robuste » contre les attaques basées uniquement sur la gestion des accommodements de fichiers.

En plus du double contrôle de signature, la mise à jour comprend plusieurs corrections visant à réduire les vecteurs d'exploitation classiques. libcurl.dll libstore a été supprimé pour minimiser le risque de Le chargement de la DLL ide, les options cURL qui affaiblissaient le comportement TLS dans les versions précédentes ont été supprimées, et l'exécution des opérations de gestion des plugins a été limitée aux programmes signés avec le même certificat que la mise à jour (WinGup). Ces modifications visent à fermer les routes par lesquelles un composant légitime peut être forcé de charger ou d'exécuter un code malveillant.

La réponse du projet n'est pas restée dans les changements de code : le service a été transféré à un autre fournisseur d'hébergement, les références ont été tournées et les faiblesses exploitées ont été effacées. La recommandation que les développeurs et les analystes répètent est simple et urgente : mettre à jour la version 8.9.2 et toujours télécharger les installateurs du domaine officiel Notepad-plus-plus.org. Pour les déploiements professionnels ou les utilisateurs qui préfèrent ne pas utiliser l'auto-mise à jour, l'installation MSI permet d'exclure le composant avec l'option NOUPDATER = 1, par exemple: msiexec / i npp.8.9.2.Installer.x64.msi NOUPDATER = 1.

Cet incident est un rappel de la façon dont les chaînes d'approvisionnement logiciel fonctionnent aujourd'hui: la sophistication des attaquants a augmenté et donc les défenses doivent intégrer la redondance et la vérification cryptographique à plusieurs niveaux. Un seul sceau numérique n'est plus suffisant si le processus de livraison peut intervenir; par conséquent, le bloc note + + indique la nécessité pour chaque mise à jour de passer deux contrôles indépendants avant de fonctionner sur l'équipement de l'utilisateur.

Cependant, aucun arrangement n'est infaillible à lui seul. La communauté et les organisations devraient compléter ces améliorations par de bonnes pratiques : vérifier manuellement les signatures lorsque c'est possible, maintenir des politiques de déploiement contrôlées dans des environnements critiques et surveiller les signaux de comportement anormaux après une mise à jour. Et, bien sûr, ne compter que sur des sources officielles lors du téléchargement des installateurs.

Si vous voulez lire le détail technique et la déclaration des chercheurs qui ont contribué à révéler la campagne, les communiqués de presse disponibles et l'analyse publique donnent un contexte à la tactique et à la durée de l'attaque. La nouvelle a été largement couverte par des moyens spécialisés et le projet lui-même, qui a lancé ces contre-mesures pour réduire la probabilité que quelque chose de ce genre se répète.

En résumé: Notepad + + a durci son processus de mise à jour avec une vérification à deux niveaux et d'autres mesures de sécurité; mise à jour à la version 8.9.2 et toujours télécharger à partir du site officiel est, pour le moment, la meilleure action que tout utilisateur puisse prendre.