Notepad++ reageert op vragen bezorgde gebruikers: 'editor zelf niet gehackt'
Ontwikkelaar van Notepad++ Don Ho is na de hack waarbij malafide updates onder gebruikers werden verspreid met aanvullende informatie gekomen. Volgens Ho heeft hij naar aanleiding van het beveiligingsincident veel vragen van bezorgde gebruikers ontvangen. Aanvallers wisten maandenlang onder gebruikers van de editor, die vooral populair is bij software-ontwikkelaars, updates te verspreiden die een backdoor installeerden.
Ho stelt dat Notepad++ zelf niet is gehackt, maar de aanvallers misbruik maakten van een probleem in de auto-updater van de software, WinGup. Doordat de aanvallers de infrastructuur van de hostingprovider hadden gehackt konden ze hier misbruik van maken en de malafide updates onder gebruikers verspreiden. Inmiddels is Ho voor Notepad++ naar een andere hostingprovider overgestapt.
Verder laat de ontwikkelaar weten dat de meeste gebruikers zich geen zorgen hoeven te maken. De aanvallers kozen doelwitten alleen op basis van strategische waarde, voegt Ho toe. Voor de meeste gebruikers volstaat het dan ook om naar de laatste versie te updaten om veilig te zijn, aldus de ontwikkelaar. Afsluitend merkt hij op dat het beveiligingsprobleem volledig is verholpen en het veilig is om Notepad++ te gebruiken.
Wat een vreemde reactie. Open Source komt óók overal en nergens vandaan. Je Flatpakje bestaat uit tig libraries waarvan sommige zelfs niet boven hobbyniveau uitkom
en. Je browser ook. Je installeert ook honderden kleine of minder kleine tools op een doorsnee linux, net als nog meer libraries. En met WinGet of Chocolatey kun je je software uit 1 repo downloaden als dat het issue is. Choco Pro kan zelfs malware scanning etc voor je doen.
Dan zullen we het maar niet hebben over de Linux dependencies die met duizenden tegelijkertijd worden gedownload ;-).
We zijn op een punt aangekomenn dat software nauwelijks meer veilig te krijgen is. Er kan zóveel mis gaan, het is wachten op de volgende hack.
Het grootste voordeel van Windows applicaties is dat je weet waar ze vandaan komen, Linux applicaties zijn een verzameling van verschillende hobby projecten waarvan je niet weet of het een dronken Rus is of een serieuze ontwikkelaar.
Wat een vreemde reactie. Open Source komt óók overal en nergens vandaan. Je Flatpakje bestaat uit tig libraries waarvan sommige zelfs niet boven hobbyniveau uitkom
en. Je browser ook. Je installeert ook honderden kleine of minder kleine tools op een doorsnee linux, net als nog meer libraries. En met WinGet of Chocolatey kun je je software uit 1 repo downloaden als dat het issue is. Choco Pro kan zelfs malware scanning etc voor je doen.
Ja, maar het komt wel van een software repository, en veel distro's zorgen ervoor dat er weldegelijk geverifieerd word of de flatpak ook daadwerkelijk van de originele appmaker komt, (o.a. Linux Mint) met Windows is het gemakkelijker om op een nep-website een .exe te downloaden.
Wel hebben ze de Windows store, dat helpt. (Al ben ik niet bekend met Windows of met hun appstore)
Maar inderdaad, als de appmaker zelf besluit malware te embedden is daar geen schaap tegen gewassen...
Wel is de broncode van vrije software transparant, dat helpt een beetje als je zelf, (of een derde partij) de code kan auditen, maar dat zal dan ook voor iedere update moeten gelden.
Wel is het voordeel van flatpaks dat ze gesandboxed zijn.
De aanbeveling is dan ook Notepad++ opnieuw te installeren en niet te updaten.
De laatste verklaring doet meer schade dan de hack want hoe dom moet je wel niet zijn dat je tech audience accepteerd dat er IoC zijn maar dat je niet gehacked bent.
De aanbeveling is dan ook Notepad++ opnieuw te installeren en niet te updaten.
Er zijn zat code editors die precies zoals notepadd++ werken, code editors z;jn redelijk eenzijdig qua functionaliteit, neem er gewoon eentie zonder internet-afhankelijkheid voor updates.
Wat een vreemde reactie. Open Source komt óók overal en nergens vandaan. Je Flatpakje bestaat uit tig libraries waarvan sommige zelfs niet boven hobbyniveau uitkom
en. Je browser ook. Je installeert ook honderden kleine of minder kleine tools op een doorsnee linux, net als nog meer libraries. En met WinGet of Chocolatey kun je je software uit 1 repo downloaden als dat het issue is. Choco Pro kan zelfs malware scanning etc voor je doen.
Ja, maar het komt wel van een software repository, en veel distro's zorgen ervoor dat er weldegelijk geverifieerd word of de flatpak ook daadwerkelijk van de originele appmaker komt, (o.a. Linux Mint) met Windows is het gemakkelijker om op een nep-website een .exe te downloaden.
Wel hebben ze de Windows store, dat helpt. (Al ben ik niet bekend met Windows of met hun appstore)
Maar inderdaad, als de appmaker zelf besluit malware te embedden is daar geen schaap tegen gewassen...
Wel is de broncode van vrije software transparant, dat helpt een beetje als je zelf, (of een derde partij) de code kan auditen, maar dat zal dan ook voor iedere update moeten gelden.
Wel is het voordeel van flatpaks dat ze gesandboxed zijn.
Wat een vreemde reactie. Open Source komt óók overal en nergens vandaan. Je Flatpakje bestaat uit tig libraries waarvan sommige zelfs niet boven hobbyniveau uitkom
en. Je browser ook. Je installeert ook honderden kleine of minder kleine tools op een doorsnee linux, net als nog meer libraries. En met WinGet of Chocolatey kun je je software uit 1 repo downloaden als dat het issue is. Choco Pro kan zelfs malware scanning etc voor je doen.
Ja, maar het komt wel van een software repository, en veel distro's zorgen ervoor dat er weldegelijk geverifieerd word of de flatpak ook daadwerkelijk van de originele appmaker komt, (o.a. Linux Mint) met Windows is het gemakkelijker om op een nep-website een .exe te downloaden.
Wel hebben ze de Windows store, dat helpt. (Al ben ik niet bekend met Windows of met hun appstore)
Maar inderdaad, als de appmaker zelf besluit malware te embedden is daar geen schaap tegen gewassen...
Wel is de broncode van vrije software transparant, dat helpt een beetje als je zelf, (of een derde partij) de code kan auditen, maar dat zal dan ook voor iedere update moeten gelden.
Wel is het voordeel van flatpaks dat ze gesandboxed zijn.
er zijn ook gui's voor gemaakt: wingetgui en unigetgui.
Precies! En daarnaast worden updates via de software repo geupdate in plaats van in-app zoals bij notepad++, dus is er geen geen ingebouwde updater te exploiteren via een MITM-aanval.
Waar de updater wel in faalde, was om afdoende te controleren dat de ontvangen versie ook inderdaad hetzelfde bestand was dat door de ontwikkelaar was geüpload. Dat had de installatie van de besmette versie kunnen tegenhouden, maar dat gebeurde dus niet.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Information Security Manager IT/OT
Als Information Security Manager IT/OT zorg jij ervoor dat informatiebeveiliging binnen onze IT- en OT-omgevingen niet alleen op papier klopt, maar aantoonbaar werkt in de uitvoering. Je richt je op het veilig en betrouwbaar functioneren van operationele processen en draagt bij aan een volwassen, risicogestuurde be-veiliging van onze vitale infrastructuur.
Security Architect IT/OT
Als Security Architect IT/OT geef jij richting aan de technische en architec-tonische inrichting van veilige IT- en OT-omgevingen. Je vertaalt bestaand beleid en wet- en regelgeving naar concrete, uitvoerbare ontwerpprincipes en bewaakt de samenhang tussen techniek, organi-satie en risico’s.
Security Analist IT/OT
Als Security Analist IT/OT draag jij bij aan het verder professionaliseren van onze digitale weerbaarheid. Je bewaakt da-gelijks de veiligheid van onze IT- en OT-omgevingen en zorgt ervoor dat risico’s tijdig worden gesignaleerd en opgevolgd. Zo help je mee om vitale processen rondom water en onze kantoorauto-matisering betrouwbaar en veilig te laten functioneren.
