Notepad

Notepad++ fue el objetivo de una campaña de ataque contra la cadena de suministro que comprometió su sistema de actualizaciones automáticas. El incidente fue comunicado públicamente el 2 de febrero de 2026 y el nombre de la operación, Chrysalis, proviene del backdoor personalizado que los atacantes emplearon durante la campaña. Aunque la infraestructura de Notepad++ fue utilizada para distribuir malware, el código fuente del editor no fue modificado directamente. Esta campaña fue atribuida al grupo APT chino Lotus Blossom.

La campaña fue detectada cuando usuarios en Filipinas, El Salvador y Vietnam comenzaron a recibir actualizaciones maliciosas a través del mecanismo oficial de WinGUp. Este evento ha representado un punto de inflexión en las campañas de supply chain, en vez de lugar de comprometer un repositorio de código o una biblioteca específica, los atacantes tomaron control del servidor que distribuía las actualizaciones oficiales. A diferencia de un ataque tradicional que requiere engañar al usuario para que descargue software desde una fuente no confiable, Chrysalis se distribuía mediante el canal oficial de actualización, aprovechando la confianza depositada en el proceso automático.

Campaña

El ataque Chrysalis se ejecutó mediante el compromiso de la infraestructura de hosting donde se alojaban los servicios de actualización de Notepad++. Entre junio y diciembre de 2025, los atacantes mantuvieron activa la infraestructura comprometida, interceptando las peticiones del componente WinGUp y redirigiendo selectivamente a determinados usuarios hacia servidores bajo su control. Esto significa que el payload malicioso se activaba automáticamente cuando el usuario intentaba actualizar el programa, sin requerir ninguna acción adicional por parte de la víctima.

Una vez ejecutado, el malware recopilaba información básica del sistema como el usuario actual, los procesos activos y la configuración del equipo. Estos datos se almacenaban temporalmente y se enviaban a servidores controlados por los atacantes mediante servicios de transferencia temporal. En algunas variantes, la dirección utilizada para realizar la subida aparecía incluida dentro de la cabecera de la petición, ocultando parte de la lógica de comunicación.

Los investigadores identificaron varias cadenas de infección diferentes a lo largo de la campaña. Algunas utilizaban instaladores para desplegar componentes adicionales, mientras que otras empleaban técnicas para cargar y ejecutar código malicioso en memoria. Una de las cadenas dejaba en el sistema un ejecutable legítimo junto con una biblioteca maliciosa que se cargaba automáticamente al ejecutar el programa legítimo. Posteriormente, esta biblioteca descifraba y ejecutaba código malicioso almacenado en el sistema.

Algunas variantes terminaban instalando Chrysalis, mientras que en otras se descargaban un Beacon de Cobalt Strike, proporcionando capacidades para ejecutar comandos y desplazarse por la red comprometida. Entre junio y diciembre de 2025, los atacantes mantuvieron activa la infraestructura comprometida, rotando parte de los servidores de mando y control y modificando los payloads empleados. Esta rotación permitió mantener la operación durante varios meses sin generar una distribución masiva que facilitara su detección inmediata.

Impacto

La campaña Chrysalis tuvo un impacto especialmente relevante debido a la enorme base de usuarios de Notepad++, presente en millones de equipos de todo el mundo y utilizado habitualmente por desarrolladores, administradores de sistemas y equipos de TI.

Tras el incidente, el equipo de Notepad++ migró la infraestructura a un nuevo proveedor de hosting y reforzó el componente WinGUp para verificar de forma obligatoria la firma y el certificado de los instaladores descargados. Estas medidas se incluyeron en la versión 8.9.2, publicada en febrero de 2026, junto con la recomendación de que los usuarios actualizaran manualmente desde fuentes oficiales y revisaran sus sistemas en busca de indicadores de compromiso.