Notepad++ lieferte monatelang Backdoors statt Updates Notepad++-Super-GAU: Wie das Admin-Tool zur APT-Waffe wurde

Notepad++, als unverzichtbares „Schweizer Taschenmesser“ in fast jedem Admin-Toolkit und auf unzähligen Entwickler-Rechnern installiert, wurde in einer monatelangen Operation zum Einfallstor für staatliche Spionage und parallele Kampagnen organisierter Cyberkriminalität. In vielen Un­ter­neh­mens­netzen lauert jetzt eine persistente Bedrohung inklusive Backdoor.

Angreifer halten auf den infizierten Systemen de facto den Schlüssel zum Maschinenraum der Unternehmens-IT in der Hand: Notepad++ war das Werkzeug der Wahl zum schnellen Einblick in sensible Systemkonfigurationen von Cloud-Um­ge­bung­en oder schnelle Bearbeitung von Code in Software-Entwicklungspipelines.

Das Kernproblem der Krise liegt in der kompromittierten Update-Infrastruktur WinGUp von Notepad++, einer vertrauten Quelle für Patches. Als diese Komponente kompromittiert wurde, brach die Vertrauenskette zusammen.

Zwischen Juni und Anfang Dezember 2025 lieferte der integrierte Updater WinGUp statt legitimer Patches in ausgewählten Fällen Schadsoftware aus – primär an hochkarätige Ziele im Regierungs- und Finanzsektor, aber nicht ausschließlich. Ausschlaggebend war, dass der Updater in älteren Versionen nicht strikt genug prüfte, ob das geladene Installationspaket tatsächlich authentisch signiert und unverändert war, sodass Angreifer bei erfolgreichem Traffic Hijacking ein fremdes Binary gleichsam wie ein Kuckucksei in den Update Prozess einschleusen konnten.

Security-Insider Podcast – Folge 86

Backdoor in xz-Tools erschüttert die IT-Welt

Die bösartigen Downloads tragen typischerweise Dateinamen wie update.exe, updater.exe oder AutoUpgrade.exe – keine davon gehört zur legitimen Notepad++ Distribution. Doch die Liste möglicher Indizien des Vorfalls erstreckt sich weit darüber hinaus.

Rapid7 verknüpfte die Kampagne mit der Gruppe „Lotus Blossom“ (staatlich verortete Spionage-Akteure). Kaspersky beschreibt mehrere Infektionsketten und rotierende C2-Infrastruktur des APT (Advanced Persistent Threat); in deren Telemetrie tauchen u. a. Organisationen und Einzelziele in mehreren Ländern auf.

Der Kompromittierungszeitraum erstreckte sich nach Darstellung von Notepad++ Autor Don Ho von Juni bis zum 2. Dezember 2025, als alle verbliebenen Zugriffsmöglichkeiten der Angreifer endgültig geschlossen wurden. Der frühere Shared Hosting Provider von Notepad++ bestätigt, dass der betroffene Server selbst bis zum 2. September 2025 kompromittiert war und dass die Angreifer anschließend mithilfe gestohlener Zugangsdaten bis zum 2. Dezember 2025 weiterhin Update Traffic zum Notepad++ Endpunkt umleiten konnten.

Wer der Update Aufforderung folgte (die Lotus-Blossom-Masche), öffnete fremdstaatlichen Akteuren potenziell die Tür zum eigenen System; wer sich das Installationspaket stattdessen manuell über eine Suchmaschine besorgte, lief Gefahr, auf einem präparierten Klon zu landen (die Black-Cat-Masche).

Denn während ein APT Akteur der Gruppe Lotus Blossom den offiziellen Update Mechanismus für gezielte Spionage missbrauchte, überfluteten parallel dazu Cyberkriminelle gängige Suchmaschinen mit verseuchten Nachbauten der Download Seite (Stichwort: SEO-Poisoning und Ads-Missbrauch).

Bei Stichprobenrecherchen am 9. Februar 2026 waren einige dieser Malware Downloads noch auf der ersten Ergebnisseite gängiger Suchmaschinen bei der Suche nach Notepad++ auffindbar.

Der ursprüngliche Angriff war hochselektiv; das spricht für Spionage-Absichten statt „Spray-and-Pray“. Wer sich auf ein manipuliertes Update eingelassen hat, öffnete den Tätern über die kompromittierten Systeme einen Backdoor-Zugriff mit interaktiver Kontrolle. So konnten die Täter über Monate hinweg Daten abgreifen und seitlich im Netz voranschreiten.

Anatomie einer Zangen-Attacke

Die Brisanz dieses Vorfalls ergibt sich aus einer nahezu perfekt getakteten Zangenbewegung zweier Akteure, die das Ökosystem von Notepad++ gleichzeitig von innen und außen attackieren.

Auf der einen Seite agiert die mutmaßlich staatlich gestützte APT‑Gruppe „Lotus Blossom“, die mit chirurgischer Präzision die offizielle Update‑Infrastruktur WinGUp unterwandert und über kompromittierte Hosting‑Server trojanisierte Installer ausgeliefert haben soll. Diese Eingriffe haben in den kompromittierten Systemen Vorkehrungen eingerichtet, die den Download legitimer Versionen unterbinden.

Unentdeckte Schadsoftware „Plague“ kapert PAM-Subsystem

Hochentwickelte Backdoor bedroht Linux-Server

Während „Lotus Blossom“ im Verborgenen agiert, eröffnet parallel dazu die Cybercrime‑Gruppe „Black Cat“ eine zweite, sichtbare Front: Sie nutzt das Informationsvakuum und die Verunsicherung der Nutzer, um über massives SEO‑Poisoning und manipulierte Suchanzeigen gefälschte Download‑Seiten für Notepad++ zu platzieren. Diese täuschend echten Mirror‑Sites liefern statt des Editors trojanisierte Installer aus, die unter anderem Cobalt‑Strike‑Payloads nachladen und so häufig den Türöffner für weiterführende Ransomware‑Angriffe bilden – insbesondere bei Nutzern, die nach Problemen mit dem integrierten Updater auf einen manuellen Download per Suchmaschine ausweichen.

Dieser doppelte Beschuss markiert einen sichtbaren Wendepunkt in der IT-Sicherheitslage: Blindes Vertrauen in Software-Updates enttarnt sich als ein Irrglaube. Denn wenn selbst der offizielle Verteilungsweg über Monate hinweg als potenziell kompromittiert gilt, ist doppelte Wachsamkeit angesagt.

Das Update-Dilemma

Vor dem Hintergrund der Attacke auf die Update-Infrastruktur von Notepad++ sind häufig getaktete Zwangsupdates von Browsern, Betriebssystemen und Tools ohne realistische Abnahmefenster für Unternehmen kein Sicherheitsgewinn per se. Je kürzer die Zyklen, desto weniger Zeit bleibt den Teams für saubere Prüfung, kontrollierte Rollouts und belastbare Rückfallpläne. „Schnell“ verdrängt „sicher“.

Das Kernproblem ist die Entmündigung: Zeitpunkt diktiert, Rollback erschwert, Changelogs verdichtet. Automatisierung kann leicht in automatisierte Schadensverteilung kippen. Das Update ist dann nicht Heilmittel, sondern Multiplikator.

Noch heikler sind Betriebssystem- und Treiber-Updates: Hier geht es um Kernel, Netzwerkstack, Kryptographie und Identity-Ketten. Trotzdem laufen sie oft als „klick und fertig“, inklusive erzwungener Reboots. Das ist riskant.

Die Alternative lautet: Staging statt Zwang, LTS-Schienen, echte Rollback-Optionen, strikte Signaturprüfung, reproduzierbare Builds und unabhängige Verifikation. Cybersicherheit ist nicht zuletzt eine Funktion der Ereigniskontrolle.

Backdoor-Trojaner nutzt Windows-BITS für Angriffe

Neue Windows-Backdoor BITSLOTH entdeckt

Was Notepad++ betrifft: Die Projektwebsite ist inzwischen zu einem neuen Hosting-Anbieter mit „deutlich stärkeren Praktiken“ umgezogen und der Aktualisierungsprozess wurde verschärft. Ab der kommenden Version 8.9.2, die in etwa einem Monat erwartet wird, sollen Zertifikats- und Signaturprüfung verpflichtend durchgesetzt werden. Die Empfehlung lautet, bestehende Systeme auf die neueste legitime Version über einen manuellen Download von notepad-plus-plus.org zu aktualisieren.

Wenn Sie Version v8.9.1 (oder neuer) heruntergeladen haben und die Signatur von Don Ho als „OK“ angezeigt wird, können Sie sicher sein: Die Datei wurde seit der Erstellung durch den Entwickler nicht verändert.

Für frühere Versionen reicht dieser Schritt jedoch nicht aus.

Wenn der betroffene Rechner bereits zwischen Juni und Dezember 2025 ein Update über den internen Mechanismus (WinGUp) gemacht hat, hilft die Prüfung der Signatur der notepad++.exe allein nicht mehr.

Das Problem: Die „Lotus Blossom“-Hacker haben die Malware oft so geschickt platziert, dass sie als separater Prozess oder in versteckten Ordnern (wie dem erwähnten %APPDATA%\ProShow) weiterlebt. Selbst wenn Sie jetzt eine signierte, saubere Notepad++ Version drüber einspielen, könnte die Backdoor immer noch in einem anderen Bereich des Betriebssystems weiterhin bestehen bleiben.

Wer ganz sichergehen möchte, dass die Malware von dem betroffenen System entfernt wurde, muss einen „Frühlingsputz“ durchziehen:

Schritt 1. Saubere Konfiguration sichern

Sichern Sie die „Wertsachen“ aus Ihrer kompromittierten Installation von Notepad++.

Kopieren Sie nur diese Dateien an einen sicheren Ort:

• config.xml (die benutzereigenen allgemeinen Einstellungen)

• stylers.xml (die benutzereigenen Farbschemata und Themes)

• shortcuts.xml (die benutzereigenen Tastenkürzel und Makros)

• userDefineLangs.xml (Falls benutzereigene Sprachen definiert wurden)

Das Verzeichnis plugins darf nicht übernommen werden; es enthält ausführbare Dateien, die potenziell manipuliert sein könnten.

Gefährliche Malware „Auto-Color“

Linux-Backdoor über SAP-Schwachstelle eingeschleust

Schritt 2. Die Radikalkur: Frühjahresputz

Jetzt entfernen wir die potenziell infizierte Version restlos. Deinstallieren Sie Notepad++ über die Systemsteuerung (Programme hinzufügen oder entfernen). Danach wechseln Sie wieder in den Ordner %APPDATA% und löschen Sie den kompletten Ordner Notepad++ manuell, falls er noch da sein sollte. Löschen Sie danach auch das Verzeichnis

restlos. Danach prüfen Sie, ob die verdächtigen Ordner

noch existieren – falls ja: Löschen Sie beide. Diese Fundorte wurden in den forensischen Analysen der „Chrysalis“-Malware, dem Werkzeug von Lotus Blossom, während der 2025er-Kampagne dokumentiert (Stichwort: "Living off the Land"-Taktik).

Wer diese Verzeichnisse findet, hat einen Volltreffer; die Abwesenheit dieser Pfade garantiert jedoch keinesfalls die Abwesenheit von Malware. Kryptische Namen, ungewöhnliche Executables, scheinbar legitime Software, die sich unbemerkt installierte, zählen zu den gängigen Symptomen - und sind nur schwer auffindbar.

Eine offizielle Lösung existiert bisher nicht. Abhilfe kann ein eigenes PowerShell-Skript schaffen, bis der Vorfall durch aktualisierte Sicherheitssoftware abgedeckt ist.

Risiken aus der Lieferkette

Die Firmware als Angriffsvektor

Schritt 3. Legitimen Installer herunterladen und prüfen

Laden Sie den legitimen Installer von der offiziellen Adresse: https://notepad-plus-plus.org/ herunter. Mit einem Rechtsklick auf die Datei überprüfen Sie die digitale Signatur (aktuell nach dem Vorfall nutzt das Projekt den GlobalSign Chain).

Schritt 4. Notepad++ installieren

Installieren Sie die anhand der Signatur verifizierte Version (v8.9.1 oder neuer).

Schritt 5. Eigene Konfiguration wiederherstellen

Starten Sie das neue Notepad++ einmal, um die Ordnerstruktur wiederherzustellen, und beenden sie es wieder. Navigieren Sie jetzt zu

Kopieren Sie Ihre zuvor gesicherten Dateien (config.xml, etc.) zurück in dieses Verzeichnis, um die Standarddateien Ihrer neuen Installation mit eigenen Einstellungen zu überschreiben.

Nach der Neuinstallation bleibt weiterhin die Notwendigkeit bestehen, Cloud‑Umgebungen und andere Infrastruktur zu härten, für den Fall, dass sie durch den unautorisierten Zugriff auf sensible Entwickler‑ oder Administrator‑Workstations kompromittiert wurde.

Fazit

Für ein Werkzeug, das über Jahrzehnte als Inbegriff von Zuverlässigkeit und Schlichtheit galt, ist der Vorfall der Inbegriff eines digitalen Super-GAU.

Die aktuelle Lage ist auch deshalb so prekär, weil sie das fundamentale Vertrauensverhältnis zwischen Nutzer und Software-Distribution im Kern erschüttert. Im Spiel ist hier mehr als bloß ein einzelner Exploit: Es geht vielmehr um den systematischen Missbrauch einer gewachsenen Vertrauensinfrastruktur, der Sicherheitsverantwortliche zum Umdenken zwingt. In einer Welt, in der Angreifer Update-Infrastrukturen unbemerkt kapern können, wird selbst die Verfügbarkeit eines Patches zur Bedrohung.

Der Vorfall zeigt: Lieber Zero-Trust als Zero-Kontrolle.

Über die Autoren: Das Autorenduo Anna Kobylinska und Filipe Pereira Martins arbeitet für McKinley Denali, Inc., USA.

Zero Trust als neues Paradigma der IT-Sicherheit

Zero Trust in der Praxis: Chancen, Stolperfallen und NIST-Leitlinien

(ID:50707238)