Notepad++ victime d’un piratage : l’ombre d’un groupe étatique plane sur l’affaire

Un détournement numérique de haute volée

Tout a commencé par un constat inquiétant de la part de plusieurs experts en cybersécurité. Ils ont remarqué que WinGUp, le petit programme qui s’occupe de mettre à jour Notepad++, ne se connectait pas toujours là où il aurait dû. En gros, au lieu de récupérer la nouvelle version officielle sur les serveurs de l’éditeur, certains utilisateurs se retrouvaient redirigés vers des machines contrôlées par des pirates. Ces derniers en profitaient pour glisser des fichiers exécutables vérolés à la place du logiciel légitime. C’est une technique particulièrement redoutable car elle abuse de la confiance que l’on porte naturellement aux notifications de mise à jour de nos outils quotidiens.

La faille se cachait chez l’hébergeur

Le plus surprenant dans cette histoire, c’est que le code source de l’application n’y est pour rien. L’enquête montre que le problème venait de l’infrastructure physique. Les attaquants ont réussi à s’introduire chez l’ancien fournisseur d’hébergement du site officiel. Une fois à l’intérieur, ils ont pu manipuler les flux de données de manière très chirurgicale. Ce n’était pas un arrosage automatique : le détournement visait des cibles précises, ce qui laisse penser à une opération de cyberespionnage bien ficelée. D’ailleurs, plusieurs spécialistes pointent du doigt un groupe soutenu par l’État chinois, connu pour ce genre de méthodes sélectives et discrètes.

Une période de vulnérabilité assez longue

Si l’on regarde le calendrier, les dégâts ont commencé dès le mois de juin 2025. L’intrusion a duré un bon moment puisque les pirates ont gardé un pied dans la place même après les premières alertes. Si le serveur principal a été repris en main début septembre, les assaillants disposaient encore d’identifiants internes leur permettant de continuer leurs manipulations jusqu’au début du mois de décembre. C’est seulement à cette date que l’accès a été totalement verrouillé. Cette persistance montre à quel point l’attaque était ancrée profondément dans les systèmes de l’ancien hébergeur, forçant finalement l’équipe de Notepad++ à faire ses valises pour un prestataire plus robuste.

L’ombre de la backdoor Chrysalis

Les analyses techniques menées en marge de l’incident par Rapid7 ont permis de mettre un nom sur la menace : Chrysalis. Il s’agit d’une porte dérobée particulièrement vicieuse qui a été retrouvée dans les fichiers malveillants distribués lors du détournement de Notepad++. Ce logiciel espion n’est pas là par hasard. Une fois installé sur une machine, il permet aux attaquants de prendre le contrôle total du système, de fouiller dans les fichiers et de surveiller l’activité de l’utilisateur en toute discrétion. C’est un outil de précision, conçu pour rester invisible le plus longtemps possible tout en extrayant des données sensibles vers des serveurs de commande extérieurs.

La signature du groupe Lotus Blossom

L’utilisation de cet arsenal pointe directement vers un acteur bien connu des services de renseignement : le groupe Lotus Blossom. Ces pirates, que l’on lie souvent aux intérêts de l’État chinois, sont des habitués des campagnes d’espionnage ciblant les administrations et les secteurs stratégiques. En s’attaquant à un outil aussi populaire que Notepad++, ils ne cherchaient pas à pirater Monsieur Tout-le-monde pour quelques numéros de carte bleue, mais bien à infiltrer des profils spécifiques, comme des développeurs ou des administrateurs réseaux, qui utilisent quotidiennement cet éditeur pour manipuler des scripts ou des fichiers de configuration critiques.

Tout le monde est-il dans le viseur ?

Face à tout cela, il est normal de se demander si on risque quelque chose en ouvrant son éditeur de texte habituel. Pour être clair, si vous utilisez une version antérieure à la 8.8.9, vous portez techniquement une vulnérabilité, mais cela ne signifie pas que vous avez été piraté. L’attaque n’était pas aveugle. Elle a fonctionné par « redirection sélective », ce qui signifie que les serveurs corrompus choisissaient soigneusement à qui ils envoyaient la version piégée. En gros, les pirates ne voulaient pas faire de bruit inutile. Si vous n’êtes pas une personne d’intérêt dans un secteur stratégique, il y a de fortes chances que vous ayez téléchargé une mise à jour parfaitement saine, même pendant la période de compromission.

Un ciblage géographique et professionnel

D’après les observations des chercheurs, la campagne semble s’être concentrée sur des zones géographiques précises, notamment en Asie du Sud-Est, tout en gardant un œil sur des profils professionnels très particuliers à l’échelle mondiale. Les cibles privilégiées étaient souvent des diplomates, des employés gouvernementaux ou des ingénieurs travaillant sur des technologies sensibles. Si vous utilisez Notepad++ pour faire vos listes de courses ou modifier des fichiers textes basiques chez vous, vous n’étiez probablement pas sur le radar de Lotus Blossom. Cela dit, le risque zéro n’existant pas en informatique, la mise à jour reste la seule vraie protection pour fermer définitivement la porte, quel que soit votre profil.

Des verrous de sécurité enfin renforcés

Pour stopper l’hémorragie, le développeur n’a pas fait les choses à moitié. Depuis la version 8.8.7, tous les fichiers sont signés numériquement avec un certificat officiel GlobalSign. Mais c’est surtout avec la mouture 8.8.9 que le vrai changement arrive. Désormais, le programme de mise à jour vérifie systématiquement l’identité et l’intégrité de ce qu’il télécharge. Si le certificat ne correspond pas ou si la signature semble louche, il coupe tout immédiatement. Fini l’époque où l’on pouvait lui faire avaler n’importe quel binaire sous prétexte qu’il arrivait par le bon tuyau. Une couche supplémentaire de protection via le protocole XMLDSig viendra même verrouiller le tout dans les prochaines semaines.

Ce que vous devez faire maintenant

Si vous avez encore une vieille version qui traîne sur votre ordinateur, c’est le moment de faire le ménage. La recommandation actuelle est de passer sans tarder à la version 8.9.1, qui est la plus stable et sécurisée à ce jour. Un petit détail important d’ailleurs : si vous aviez installé manuellement un certificat racine spécifique à Notepad++ par le passé, les développeurs vous conseillent de le supprimer car il est devenu inutile et potentiellement encombrant. Le logiciel utilise maintenant des standards plus classiques et reconnus. En migrant vers un nouvel hébergeur et en blindant son système de mise à jour, l’outil espère bien tourner la page de cette séquence mouvementée.