Des pirates diffusent une archive piégée contenant une version légitime de Notepad++ et un faux plugin chargé de déployer plusieurs malwares sur Windows. Ni le logiciel officiel ni sa chaîne de distribution n’ont été compromis.
Une version légitime de Notepad++ transformée en relais pour déployer des malwares
D’après les éléments communiqués par le CERT-UA, l’organisme ukrainien chargé de la réponse aux incidents informatiques, UAC-0099 diffuse une archive ZIP contenant un script VBS présenté comme un document PDF. Une fois exécuté, ce script récupère un second fichier compressé, baptisé Evernote.zip, puis en installe le contenu dans un dossier au nom aléatoire.
Cette seconde archive renferme une version officielle de Notepad++ 8.8.3, une DLL nommée NppExport.dll, une archive protégée par mot de passe ainsi qu’une version légitime de WinRAR, utilisée pour en extraire les fichiers. Le script VBS lance ensuite Notepad++, qui charge automatiquement la DLL par son mécanisme habituel d’extensions. Le faux plugin dissimule en réalité LunchPoke, un premier outil destiné à maintenir l’accès à la machine compromise grâce à une tâche planifiée, puis à extraire les composants nécessaires pour poursuivre l’opération.
Parmi les fichiers récupérés figure notamment BurnyBear, un programme intermédiaire chargé de lancer MatchBoil V2. Ce dernier communique avec le serveur de commande des attaquants, met à jour sa configuration et récupère les charges utiles à exécuter sur le PC, avant de s’appuyer sur WinRAR pour les décompresser. Si BurnyBear ne parvient pas à poursuivre l’opération, il peut aussi saturer la mémoire vive et le processeur de la machine.
Le CERT-UA n’a toutefois précisé ni les charges finales distribuées, ni leurs fonctions, ni les organisations touchées.
Que faire pour ne pas tomber dans le piège
L’attaque ne repose pas, à proprement parler, sur une faille de Notepad++. Les pirates détournent sa fonction normale de chargement des extensions en diffusant leur propre copie du logiciel, déjà associée à une DLL malveillante. Ni le projet officiel ni ses serveurs de téléchargement n’ont été compromis.
La première précaution consiste donc à ne jamais exécuter un logiciel ou un fichier présenté comme un document lorsqu’il a été reçu par mail ou messagerie. Notepad++, comme WinRAR ou 7-Zip, doit être téléchargé directement depuis le site officiel de son éditeur, puis maintenu dans sa version la plus récente.
Il est enfin recommandé de passer à Notepad++ 8.9.7, 7-Zip 26.02 et WinRAR 7.23 afin de corriger les failles déjà connues dans ces produits. Ces mises à jour ne neutralisent pas une archive préparée par les attaquants, mais elles limitent les possibilités de combiner ce détournement avec d’autres vulnérabilités. Dans les environnements professionnels, le blocage des scripts VBS provenant de l’extérieur et la surveillance des nouvelles tâches planifiées peuvent aussi empêcher l’installation durable des outils malveillants.
