Notepad++ Opfer chinesischer Cyber-Spionage: Supply-Chain-Angriff trifft beliebte Entwickler-Software
Hacker kaperten Update-Prozess der Open-Source-Anwendung und installierten gezielt Schadsoftware bei ausgewählten Nutzern.
Die beliebte Code-Editor-Software Notepad++ wurde Ziel eines hochselektiven Cyber-Angriffs. Hacker einer mutmaßlich chinesisch finanzierten Spionagegruppe kaperten den Update-Mechanismus der Open-Source-Anwendung, um gezielt Schadsoftware zu verbreiten. Dies teilten Entwickler Don Ho und Cybersicherheitsforscher am Montag mit.
Der in Frankreich ansässige Entwickler Ho bestätigte in einem Blogbeitrag, dass böswillige Akteure ab Juni 2025 Zugriff auf den Update-Server hatten. Die Angreifer konnten bis zum 2. September 2025 auf den Hosting-Server zugreifen und behielten sogar bis zum 2. Dezember 2025 Zugangsdaten zu einigen Hosting-Diensten. Der Angriff richtete sich jedoch nicht gegen alle Nutzer, sondern war hochselektiv ausgerichtet.
"Was ich aus den Ermittlungen weiß, ist, dass der Angriff hochselektiv war – nicht alle Nutzer erhielten während des Zeitraums der Kompromittierung bösartige Updates", erklärte Ho gegenüber Reuters. Wie viele Nutzer genau betroffen waren und welche Organisationen ins Visier genommen wurden, bleibt unklar. Ho selbst hat keinen Einblick, wie viele bösartige Updates tatsächlich heruntergeladen wurden.
Lotus Blossom hinter dem Angriff
Das Cybersicherheitsunternehmen Rapid7 ordnet die Hacking-Kampagne der Gruppe "Lotus Blossom" zu, die seit 2009 aktiv ist. Die mutmaßlich chinesisch finanzierte Cyber-Spionagegruppe hat in der Vergangenheit gezielt Regierungs-, Telekommunikations-, Luftfahrt- und Mediensektoren in Südostasien und Zentralamerika angegriffen. Die Angreifer installierten eine maßgeschneiderte Backdoor, die ihnen interaktive Kontrolle über infizierte Computer verschaffte.
Die kompromittierten Systeme könnten als Einfallstor für weitere Angriffe und Datendiebstahl dienen. Der Cybersicherheitsforscher Kevin Beaumont berichtete am 2. Dezember 2025, dass ihm drei Organisationen "mit Interessen in Ostasien" bekannt seien, bei denen Sicherheitsvorfälle möglicherweise mit Notepad++ in Verbindung stehen.
US-Behörden ermitteln
Lesen Sie alles zur aktuellen Aktie der Stunde
Erfahren Sie, worum es geht und warum sich ein genauer Blick jetzt lohnt.
Zur AktienanalyseDie US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) bestätigte, über die Kompromittierung informiert zu sein. "Wir untersuchen eine mögliche Gefährdung innerhalb der US-Regierung", erklärte ein CISA-Sprecher. Die Domain wurde laut Internet-Registrierungsdaten bis zum 21. Januar beim litauischen Hosting-Anbieter Hostinger gehostet, der bislang keine Stellungnahme abgab.
China weist die Vorwürfe zurück. "China lehnt alle Formen des Hackings ab und bekämpft sie im Einklang mit dem Gesetz", erklärte ein Sprecher der chinesischen Botschaft in Washington. Die Behauptungen seien unverantwortlich und würden ohne faktische Beweise erhoben. Der Fall unterstreicht die wachsende Gefahr von Supply-Chain-Angriffen, bei denen Angreifer vertrauenswürdige Update-Mechanismen ausnutzen, um Schadsoftware zu verbreiten.
