Notepad++ Opfer gezielter Supply-Chain-Attacke durch chinesische Hackergruppe

Die beliebte Open-Source-Programmieranwendung Notepad++ ist Ziel eines hochselektiven Supply-Chain-Angriffs geworden. Wie Entwickler Don Ho am Montag mitteilte, hatten Hacker zwischen Juni und September 2025 Zugriff auf den Update-Server der Software und behielten bis Dezember 2025 Zugangsdaten zu Hosting-Diensten.

Der in Frankreich ansässige Entwickler betonte, dass nicht alle Nutzer während des Kompromittierungszeitraums bösartige Updates erhielten. "Der Angriff war hochselektiv – das deutet auf eine gezielte Ausrichtung und nicht auf eine breite Verteilung hin", erklärte Ho. Wie viele Nutzer betroffen sind und welche gezielt ins Visier genommen wurden, bleibt unklar.

Die US-Cybersecurity and Infrastructure Security Agency (CISA) bestätigte, über die Kompromittierung informiert zu sein und untersucht derzeit eine mögliche Gefährdung innerhalb der US-Regierung. Die Behörde nimmt den Vorfall ernst, da Notepad++ weltweit von Millionen Entwicklern und IT-Fachleuten genutzt wird.

Verbindung zu chinesischer Spionagegruppe

Das Cybersicherheitsunternehmen Rapid7 ordnet den Angriff der Hackergruppe Lotus Blossom zu, die seit 2009 aktiv ist und mit China in Verbindung gebracht wird. Die Gruppe hat historisch Regierungs-, Telekommunikations-, Luftfahrt- und kritische Infrastruktursektoren in Südostasien und Zentralamerika attackiert.

Die chinesische Botschaft in Washington wies die Vorwürfe zurück: "China lehnt alle Formen des Hackings ab und bekämpft sie im Einklang mit dem Gesetz. Wir weisen die unverantwortliche Behauptung zurück, die chinesische Regierung habe Hacking-Aktivitäten gesponsert." Die Botschaft forderte faktische Beweise für die Anschuldigungen.

Maßgeschneiderte Backdoor installiert

Laut Rapid7-Analyse nutzten die Hacker ihren Zugang, um eine speziell entwickelte Backdoor zu installieren. Diese verschaffte ihnen interaktive Kontrolle über infizierte Computer, die als Einfallstor für Datendiebstahl und weitere Angriffe dienen konnten.

Cybersicherheitsforscher Kevin Beaumont berichtete bereits im Dezember 2025 von drei Organisationen "mit Interessen in Ostasien", bei denen Sicherheitsvorfälle aufgetreten seien, die möglicherweise mit Notepad++ zusammenhängen. Die volle Tragweite des Angriffs wird derzeit noch ermittelt.

Der kompromittierte Server wurde bis zum 21. Januar vom litauischen Hosting-Anbieter Hostinger gehostet. Das Unternehmen reagierte bislang nicht auf Anfragen zu dem Vorfall. Notepad++-Nutzer sollten ihre Systeme auf verdächtige Aktivitäten überprüfen und sicherstellen, dass sie die neueste, bereinigte Version der Software verwenden.