Wichtige Information für unsere Kunden
Manipulierter Notepad++-Updater verteilt Malware
11.12.2025 | Der Entwickler des beliebten Texteditors Notepad++ warnt vor einer kritischen Sicherheitslücke im integrierten Updater WinGUp. Angreifer können den Update-Mechanismus manipulieren, kompromittierte Installer unterschieben und so Malware auf Systeme der Anwender bringen. Entsprechende Attacken wurden bereits beobachtet.
Ein Update auf Version 8.8.9 (oder mindestens 8.8.8) wird dringend empfohlen – dieses sollte jedoch manuell installiert werden. Ab Version 8.8.9 führt Notepad++ zusätzlich eine Prüfung digitaler Signaturen und Zertifikate für heruntergeladene Installer ein, um Manipulationen zu erkennen und zu verhindern.
Was ist passiert?
Sicherheitsforscher haben beobachtet, dass der Update-Mechanismus von Notepad++ in mehreren Fällen manipuliert wurde. Dabei wurde der Netzwerk-Traffic, über den der Updater die Adresse der aktuellen Installationsdatei (aus einer XML-Konfiguration) bezieht, abgefangen und umgeleitet. Statt der legitimen Notepad++-Installationsdateien wurden kompromittierte ausführbare Dateien von bösartigen Servern bezogen und automatisch ausgeführt. Eine Schwäche lag in der bisherigen Integritäts- und Authentizitätsprüfung des Updaters, die es Angreifern ermöglichte, manipulierte Downloads einzuschleusen, wenn sie den Netzwerkverkehr zwischen Client und Update-Server abfangen konnten (z.B. durch DNS- oder TLS-Hijacking).
Als mögliche Indikatoren für eine Kompromittierung (IOCs) gelten:
- Auffällige Netzwerkverbindungen der gup.exe zu anderen Domains als notepad-plus-plus.org, github.com oder release-assets.githubusercontent.com
- Ungewöhnliche Dateien im Benutzer-%TEMP%-Verzeichnis, insbesondere update.exe oder AutoUpdater.exe. Diese Dateinamen werden regulär nicht von Notepad++ verwendet und sind ein Verdachtsmoment für Schadaktivität.
Handlungsempfehlung
- Update: Laden Sie umgehend die aktuelle Version Notepad++ v8.8.9 manuell von der offiziellen Website herunter und installieren Sie diese auf allen betroffenen Systemen.
- Host-Prüfung: Suchen Sie auf Endpunkten nach den Dateien gup.exe, update.exe oder AutoUpdater.exe im Benutzer-%TEMP%-Verzeichnis. Isolieren Sie verdächtige Dateien und führen Sie eine Analyse mit Ihrem AV/IR-Team durch.
- Netzwerk-Überwachung: Prüfen Sie DNS- und HTTP-Logs auf Anomalien, insbesondere Manipulationen bei Anfragen an getDownloadUrl.php und sonstige Update-Verkehrsmuster.
- Signaturprüfung: Verifizieren Sie bei manuellen Installern immer die digitale Signatur. Fehlende oder ungültige GlobalSign-Signaturen sind ein starker Indikator für gefährliche Manipulationen.
