Siber güvenlik uzmanı Onur Oktay: “Notepad++ güncelleme zinciri APT saldırısıyla ele geçirildi”

Siber güvenlik uzmanı Onur Oktay, Notepad++ uygulamasına yönelik ciddi bir supply chain saldırısının ayrıntılarını kamuoyuyla paylaştı. Oktay, saldırının doğrudan Notepad++’ın kendi sunucularına değil, uygulamanın barındırıldığı hosting sağlayıcısının altyapısına yönelik gerçekleştirildiğini açıkladı.

Güncelleme Trafiği Saldırganların Kontrolüne Geçti
Paylaşılan bilgilere göre, Haziran 2025 ile 2 Aralık 2025 tarihleri arasında Notepad++’ın güncelleme mekanizması olan WinGUp üzerinden gerçekleşen trafik, saldırganlar tarafından kontrol edilen sunuculara yönlendirildi. Bu süreçte, kullanıcılara resmi güncelleme izlenimi veren zararlı yazılım içeren sahte paketler gönderildiği belirtildi.

“Hedefli ve Seçici Bir Operasyon”
Onur Oktay, saldırının geniş kitleleri kapsayan rastgele bir girişim olmadığını vurgulayarak, “Bu operasyon herkese açık bir saldırı değildi. Belirli IP blokları veya coğrafi bölgelerdeki kullanıcılar hedef alındı.” ifadelerini kullandı. Elde edilen bulguların, saldırının Çin devlet destekli bir APT grubu tarafından yürütüldüğüne işaret ettiği aktarıldı.

Zafiyet Kaynak Kodda Değil Güncelleyicide
Oktay’ın değerlendirmesine göre, Notepad++’ın kaynak kodunda herhangi bir güvenlik açığı tespit edilmedi. Ancak WinGUp aracının, indirilen dosyaların dijital imza ve sertifika doğrulamasını yeterince sıkı yapmaması, saldırının başarıya ulaşmasına neden oldu. Hosting seviyesinde gerçekleştirilen Man-in-the-Middle yönlendirmesiyle sahte güncellemeler meşru kabul edildi.

Alınan Önlemler ve Yeni Sürüm
Olayın ardından Notepad++ tarafında hosting sağlayıcısı değiştirildi, tüm erişim bilgileri sıfırlandı ve v8.8.9 sürümü yayımlandı. Bu sürümle birlikte güncelleyicinin, indirilen paketlerin imza ve sertifikalarını zorunlu olarak kontrol ettiği, doğrulama başarısız olursa güncellemenin iptal edildiği kaydedildi.

Kullanıcılara Güvenlik Uyarısı
Saldırının hedefe özel zararlı yazılımlar içermesi nedeniyle tek bir dosya imzası bulunmadığına dikkat çekildi. Şüpheli ağ trafiği ve %TEMP% klasöründe Notepad++ imzası taşımayan çalıştırılabilir dosyalar, olası bulaş göstergeleri arasında yer aldı. Onur Oktay, v8.8.9 öncesi sürümleri kullananların uygulama içinden güncelleme yapmaması ve ilgili dönemde güncelleme alan sistemlerin EDR veya antivirüs çözümleriyle taranması gerektiğini belirtti.

Yeni Güvenlik Katmanları Geliyor
Geliştirici ekip tarafından, ilerleyen sürümlerde XML dijital imzalama (XMLDSig) desteğinin devreye alınacağı duyuruldu. Olayın, yazılım güvenliği kadar altyapı güvenliğinin de kritik önemde olduğunu bir kez daha ortaya koyduğu ifade edildi.

Kaynak: Beykozun Sesi

Ajans Expres Gazetesi