Don Ho, principal mainteneur de l’éditeur de texte Notepad++, est revenu lundi sur le piratage survenu au niveau du composant en charge des mises à jour du logiciel, révélé en décembre dernier. Dans un billet de blog en forme de post-mortem, il affirme avoir changé d’hébergeur et mis en place les garanties techniques nécessaires à la prévention de tout nouvel incident.

Le piratage avait été confirmé le 9 décembre dernier, lors de la sortie de Notepad++ v8.8.9. Alerté par des signalements d’utilisateurs, puis par les vérifications opérées par certains experts en cybersécurité, Don Ho avait révélé la compromission du serveur chargé de distribuer les mises à jour du logiciel, via un composant interne baptisé WinGUp. Il expliquait alors :

« L’analyse des rapports a révélé une faille dans la manière dont le programme de mise à jour vérifie l’intégrité et l’authenticité du fichier de mise à jour téléchargé. Si un attaquant parvient à intercepter le trafic réseau entre le client du programme de mise à jour et l’infrastructure de mise à jour de Notepad++, il peut exploiter cette faille pour inciter le programme de mise à jour à télécharger et exécuter un fichier binaire indésirable (au lieu du fichier de mise à jour légitime de Notepad++). »