黑客利用 Notepad++ 插件悄无声息地感染 Windows 系统

原创

网络安全9527
网络安全9527

安全圈的那点事儿

2026年7月24日 19:13
北京

在小说阅读器读本章

去阅读

CERT-UA 已就 UAC-0099 威胁集群发出警告，该集群已修改其恶意软件传播方式，利用合法的 Notepad++ 应用程序加载伪装成插件的恶意 DLL。

这项活动从 2026 年仲夏开始，引入了两个新发现的工具 LUNCHPOKE 和 BURNYBEAR，以及一个更新的 MATCHBOIL.V2 加载器。

这项活动突显了攻击者如何利用可信软件组件和应用程序的插件加载行为，在 Windows 系统上建立持久访问权限，而无需在初始阶段依赖明显的恶意可执行文件。

黑客利用 Notepad++ 插件进行攻击

感染链通常始于一封包含附件图片的钓鱼邮件。当收件人点击这张图片时，会激活一个超链接（通常通过网址缩短服务），该链接会将受害者重定向到文件托管平台。

邮件中会包含一个 ZIP 压缩文件，例如“Attachments to the Order.zip”。受害者会在该压缩文件中发现一个 Visual Basic 脚本 (VBS) 文件，该文件利用了双重扩展名技巧。该文件可能看起来像一个 PDF 文档（例如“Factory District.pdf”），但实际上，一长串空格会掩盖其真正的“.vbs”扩展名。

执行后，VBS 脚本会下载一个诱饵 PDF 文件和另一个名为“Evernote.zip”的压缩文件。该压缩文件包含完整的 Notepad++ 8.8.3 版本，以及合法的应用程序组件和一个插件目录，该目录下包含一个名为“NppExport.dll”的恶意文件。

此外，压缩包内还包含一个名为“updater.rar”的受密码保护的压缩文件和一个WinRAR可执行文件。该脚本会将Notepad++软件包解压到公共Windows用户配置文件下的一个随机命名目录中，例如%PUBLIC%\Libs\_<随机名称>\Notepad\，然后启动notepad++.exe。

由于 Notepad++ 支持在其正常操作中加载插件库，因此启动合法的编辑器会触发攻击者控制的 NppExport.dll 的加载。CERT-UA 将此 DLL 归类为 LUNCHPOKE。

该恶意软件在 %PUBLIC%\Libraries\ 下创建一个工作目录，提取受密码保护的存档内容，并部署 RemoteLibUpdater.exe 和 InitTest.dll。

然后，它复制合法的 Windows 任务计划程序实用程序 schtasks.exe，将其重命名为误导性的文件名 Background.exe，并创建一个名为 \W1n3r-U09oTy-Ap5\Updates 的计划任务。

此计划任务每三分钟启动一次 RemoteLibUpdater.exe，并带有“setup nodisplay”参数，以确保持久性。CERT-UA 将此可执行文件识别为 BURNYBEAR，它会加载 InitTest.dll 有效载荷。

值得注意的是，BURNYBEAR 包含破坏性的回退行为；如果启动时没有预期的命令行参数，它会尝试消耗受影响设备上的内存和 CPU 资源。

最后一个 DLL 文件 InitTest.dll 是 MATCHBOIL 的更新版本，编号为 MATCHBOIL.V2。该 DLL 文件可以创建额外的计划任务、更新命令与控制配置、下载更多有效载荷，并使用 WinRAR 提取下载的组件。

如果 WinRAR 不可用，恶意软件可以从 Dropbox 获取它，从而使操作者在入侵后的操作中拥有更大的灵活性。

CERT-UA 强调， Notepad++ 中的插件 DLL 加载行为是该产品的合法功能，并不一定是独立的漏洞。

在有关 CVE-2025-56383 的讨论仍在继续之际，防御者应优先检测从公共目录执行的 Notepad++ 的可疑实例、意外的插件 DLL、不寻常的计划任务以及与 RemoteLibUpdater.exe 相关的活动。

建议各组织更新常用软件产品，例如 Notepad++ 8.9.7、WinRAR 7.23 和 7-Zip 26.02，同时加强网络钓鱼控制和监控压缩包内提供的脚本。