Chinesische Hacker verbreiten über Notepad++ monatelange Malware

Vermutlich chinesische Hacker hatten den beliebten Windows-Editor Notepad++ unterwandert und monatelang Malware auf den Rechnern ausgewählter Benutzer installiert. Das wurde jetzt bekannt.

Notepad++-Updater verbreitete Malware

Im Dezember 2025 berichteten wir, dass der Notepad++-Updater Windows-Rechner mit Viren verseucht. Die Hacker hatten WinGUp, wie der Updater heißt, zu Malware-Servern verlinkt. Von diesen Servern wurde dann Schadsoftware auf die Rechner heruntergeladen, auf denen Notepad++ installiert war.

Die Notepad++-Macher bemerkten das und stellten mit Notepad++ v8.8.9 eine virenfreie Version ihres Programms bereit. Mehr dazu lesen Sie in Notepad++-Updater verseucht Ihren Rechner mit Viren – das müssen Sie jetzt tun.

Im Dezember 2025 war aber noch nicht bekannt, woher die Hacker stammen und wann ihnen der Einbruch gelang. Das hat sich nun geändert.

Von Juni bis Dezember 2025

Demnach haben die Angreifer bereits im Sommer 2025, wohl im Juni, den Update-Mechanismus von Notepad++ unterwandert. Danach konnten die Angreifer fast ein halbes Jahr lang Malware über den Updater verbreiten. Erst am 2. Dezember 2025 entdeckten die Notepad++-Verantwortlichen den Einbruch.

Nach Angaben des Notepad++-Entwicklers hatte der Angriff einen engen Zielbereich und leitete nur bestimmte Benutzer auf die Infrastruktur des Angreifers um.

Lotus Blossom aus China soll hinter dem Angriff stecken

Zudem teilen die Notepad++-Macher in einer Stellungnahme mit, dass die Hacker wahrscheinlich von staatlichen chinesischen Stellen unterstützt wurden beziehungsweise in deren Auftrag gehandelt haben: “Mehrere unabhängige Sicherheitsforscher sind zu dem Schluss gekommen, dass es sich bei dem Angreifer wahrscheinlich um eine vom chinesischen Staat unterstützte Gruppe handelt, was die während der Kampagne beobachtete hohe Selektivität der Angriffe erklären würde”.

Anscheinend steckt die chinesische APT-Gruppe (“advanced persistent threat”) Lotus Blossom (“Lotusblüte”; auch bekannt als Raspberry Typhoon, Bilbug, Spring Dragon) hinter dem Angriff, wie die IT-Sicherheitsseite Bleepingcomputer schreibt. “Die seit 2009 aktive Gruppe ist bekannt für ihre gezielten Spionagekampagnen, die vor allem Organisationen in Südostasien und seit kurzem auch in Mittelamerika betreffen und sich auf die Bereiche Regierung, Telekommunikation, Luftfahrt, kritische Infrastruktur und Medien konzentrieren”, wie die Sicherheitsexperten von Rapid7 hier schreiben.

Und weiter: “Unsere Untersuchung ergab einen Sicherheitsvorfall, der auf eine ausgeklügelte Kompromittierung der Infrastruktur zurückzuführen ist, auf der Notepad++ gehostet wird. Diese wurde anschließend dazu genutzt, eine bislang undokumentierte benutzerdefinierte Hintertür zu installieren, die wir Chrysalis getauft haben”.

Die aktuell zum Download angebotene Version Notepad++ 8.9.1 ist laut den Verantwortlichen sicher.

Dieser Vorfall zeigt, wie wichtig ein aktuelles Antivirenprogramm ist.

Das ist Notepad++

Notepad++ ist ein kostenloser Texteditor, der eine Vielzahl von Zeichensätzen unterstützt und automatisch Programmiersprachen erkennt und optisch strukturiert. Das Tool erkennt dabei auch Veteranen wie Fortran und Cobol, und hebt die Syntax durch eine farbliche Markierung hervor. Auf diese Weise fallen Strukturelemente und Schlüsselwörter deutlich ins Auge.