Nhà phát triển trình soạn thảo văn bản nguồn mở phổ biến Notepad++ đã xác nhận rằng tin tặc đã chiếm quyền điều khiển phần mềm này để cung cấp các bản cập nhật độc hại cho người dùng trong vài tháng vào năm 2025.
Trong một bài đăng trên blog được xuất bản hôm thứ Hai, nhà phát triển Notepad++ Don Ho cho biết cuộc tấn công mạng có thể được thực hiện bởi các tin tặc có liên hệ với chính phủ Trung Quốc trong khoảng thời gian từ tháng 6 đến tháng 12 năm 2025, trích dẫn phân tích của các chuyên gia bảo mật. Ho cho biết điều này “sẽ giải thích việc nhắm mục tiêu có tính chọn lọc cao” được thấy trong chiến dịch.
Ho không cho biết có bao nhiêu người dùng bị nhắm mục tiêu hoặc bao nhiêu người bị xâm phạm – nếu biết – và không trả lời các câu hỏi vào thời điểm xuất bản. (Nếu chúng tôi nhận được phản hồi, chúng tôi sẽ cập nhật.)
Notepad++ là một trong những dự án nguồn mở hoạt động lâu nhất, kéo dài hơn hai thập kỷ và tính đến nay đã có ít nhất hàng chục triệu lượt tải xuống, bao gồm cả các nhân viên tại các tổ chức trên khắp thế giới.
Theo Kevin Beaumont, nhà nghiên cứu bảo mật, người đầu tiên phát hiện ra cuộc tấn công mạng và viết những phát hiện của mình vào tháng 12, các tin tặc đã xâm phạm một số ít tổ chức “có lợi ích ở Đông Á” sau khi ai đó vô tình sử dụng phiên bản bị nhiễm độc của phần mềm phổ biến. Beaumont cho biết tin tặc đã có thể truy cập “thực tế” vào máy tính của những nạn nhân đang chạy phiên bản Notepad++ bị tấn công.
Ho nói rằng “cơ chế kỹ thuật chính xác” về cách tin tặc đột nhập vào máy chủ của anh ấy vẫn đang được điều tra, nhưng cung cấp một số chi tiết về cách thức cuộc tấn công xảy ra.
Trong blog, Ho nói rằng trang web của Notepad++ được lưu trữ trên một máy chủ lưu trữ dùng chung. Những kẻ tấn công “nhắm mục tiêu cụ thể” vào miền web của Notepad++ với mục tiêu khai thác một lỗi trong phần mềm để chuyển hướng một số người dùng đến một máy chủ độc hại do tin tặc điều hành. Điều này cho phép tin tặc cung cấp các bản cập nhật độc hại cho một số người dùng nhất định đã yêu cầu cập nhật phần mềm, cho đến khi lỗi được sửa vào tháng 11 và quyền truy cập của tin tặc bị chấm dứt vào đầu tháng 12.
Ho viết: “Chúng tôi có nhật ký chỉ ra rằng kẻ xấu đã cố gắng khai thác lại một trong những lỗ hổng đã được sửa; tuy nhiên, nỗ lực đó đã không thành công sau khi bản sửa lỗi được triển khai”.
Ho đã xin lỗi về sự cố này và kêu gọi người dùng tải xuống phiên bản phần mềm mới nhất của anh ấy để sửa lỗi.
Cuộc tấn công mạng nhắm vào người dùng Notepad ++ phần nào gợi nhớ đến cuộc tấn công mạng năm 2019-2020 ảnh hưởng đến khách hàng của SolarWinds, một công ty phần mềm sản xuất các công cụ quản lý mạng và CNTT cho các tổ chức lớn trong Fortune 500, bao gồm cả các cơ quan chính phủ. Tin tặc của chính phủ Nga đã đột nhập vào máy chủ của công ty và bí mật cài một cửa hậu vào phần mềm của công ty, cho phép gián điệp Nga truy cập dữ liệu trên mạng của những khách hàng đó sau khi bản cập nhật được tung ra.
Vụ vi phạm SolarWinds đã ảnh hưởng đến một số cơ quan chính phủ, bao gồm Bộ An ninh Nội địa và Bộ Thương mại, Năng lượng, Tư pháp và Nhà nước.