Notepad++-Plugin-Angriff liefert Malware an ukrainische Organisationen

Ein Notepad++-Plugin-Angriff hat Organisationen in der Ukraine mit einem bösartigen Dienstprogramm ins Visier genommen, das sich als legitimes Plugin ausgibt. Die Kampagne liefert eine echte Kopie des Texteditors zusammen mit Malware aus, die darauf ausgelegt ist, dauerhaften Zugriff auf Windows-Systemen einzurichten.

Das nationale ukrainische Cybersicherheitszentrum CERT-UA ordnet die Aktivitäten der Gruppe UAC-0099 zu, einem Bedrohungscluster, der bereits zuvor Erstzugriffe für Angriffe im Zusammenhang mit APT44, auch bekannt als Sandworm, bereitgestellt hat.

Gefälschtes PDF startet bösartiges Notepad++-Paket

Die Angreifer haben ihre Angriffsmethode kürzlich geändert. Sie versenden nun ein ZIP-Archiv, das ein als PDF-Dokument getarntes VBS-Skript enthält.

Öffnet ein Nutzer die Datei, lädt das Skript ein weiteres Archiv mit dem Namen Evernote.zip herunter. Dieses Archiv enthält eine vollständige Kopie von Notepad++ Version 8.8.3 sowie ein bösartiges Plugin namens NppExport.dll.

Zusätzlich enthält es das passwortgeschützte RAR-Archiv updater.rar sowie eine legitime Version von WinRAR.

Das Skript installiert die Dateien in einem zufällig benannten Verzeichnis, startet Notepad++ und lädt NppExport.dll über den regulären Plugin-Lademechanismus der Anwendung.

Bösartiges Plugin erstellt geplante Aufgaben

CERT-UA identifizierte NppExport.dll als LunchPoke, ein Werkzeug, das eine geplante Aufgabe erstellt, um den Zugriff auf das kompromittierte System dauerhaft aufrechtzuerhalten.

LunchPoke extrahiert Dateien aus updater.rar, darunter RemoteLibUpdater.exe und InitTest.dll. Die ausführbare Datei dient als Loader für die DLL, die die Forscher mit dem Malware-Loader MatchBoil V2 in Verbindung bringen.

Falls RemoteLibUpdater.exe nicht gestartet werden kann, kann BurnyBear stattdessen einen Ressourcenerschöpfungsangriff auf das Zielsystem auslösen. Diese Ausweichmethode verbraucht große Mengen an Arbeitsspeicher- und CPU-Ressourcen.

Anschließend erstellt die Malware eine weitere geplante Aufgabe, aktualisiert ihre Konfiguration sowie die Adresse ihres Command-and-Control-Servers und verwendet WinRAR, um weitere heruntergeladene Programme zu entpacken.

CERT-UA konnte weder die endgültige Schadsoftware, noch die genauen Ziele oder das eigentliche Ziel der Kampagne identifizieren.

Angriff nutzt keine Schwachstelle in Notepad++ aus

Der Notepad++-Plugin-Angriff beruht weder auf einer bestätigten Supply-Chain-Kompromittierung noch auf einer Schwachstelle im Texteditor selbst. Stattdessen missbrauchen die Angreifer die reguläre Plugin-Ladefunktion der Software, damit die bösartige DLL-Datei legitim erscheint.

Die Forscher erwähnen CVE-2025-56383, ein gemeldetes DLL-Hijacking-Problem in Notepad++ 8.8.3, der in der Kampagne verwendeten Version. Die Entwickler von Notepad++ bestreiten jedoch, dass dieses Verhalten eine Sicherheitslücke darstellt, und betonen, dass das Laden von Plugins wie vorgesehen funktioniert.

CERT-UA empfiehlt Administratoren, Notepad++ auf Version 8.9.7, 7-Zip auf Version 26.02 und WinRAR auf Version 7.23 zu aktualisieren. Aktuelle Versionen dieser Programme können das Risiko verringern, dass Angreifer bekannte Schwachstellen in Kombination mit Social-Engineering-Angriffen ausnutzen.