على مدى ستة أشهر، كانت إحدى أكثر الأدوات الموثوقة في ترسانة المطورين – Notepad++ – تعمل بهدوء كحصان طروادة للتجسس الذي ترعاه الدولة الصينية.
كُشف النقاب عن ثغرة في برنامج Notepad++ في 2 فبراير 2026، ولم تكن هذه الثغرة عيبًا في معالجة النصوص في محرر النصوص، بل كانت خللًا كارثيًا في بنية تحديثاته. يُنسب هذا الهجوم إلى مجموعة Lotus Blossom (المعروفة أيضًا باسم Billbug أو Raspberry Typhoon )، وهي مجموعة تهديد متقدمة مرتبطة بالصين، ويُعدّ تذكيرًا مُرعبًا بأنّ أمان البرامج مفتوحة المصدر، حتى وإن كانت “آمنة”، لا يتجاوز أمان قنوات توزيعها.
1. تشريح ثغرة Notepad++
لم ينجم هذا الاختراق عن ثغرة تجاوز سعة المخزن المؤقت التقليدية أو تنفيذ التعليمات البرمجية عن بعد داخل التطبيق. بل استهدف برنامج تحديث WinGUp وبيئة الاستضافة المشتركة للمشروع.
اختراق البنية التحتية
تمكن المهاجمون من الوصول إلى مزود خدمة الاستضافة notepad-plus-plus.org. واستهدفوا تحديدًا getDownloadUrl.phpالبرنامج النصي – وهو نقطة النهاية التي يعتمد عليها برنامج التحديث للعثور على الإصدارات الجديدة. ومن خلال اختراق هذا البرنامج، تمكن برنامج Lotus Blossom من إعادة توجيه حركة مرور التحديث بشكل انتقائي من نطاقات عناوين IP محددة إلى خوادم خبيثة.
عيب التحقق
تكمن الثغرة الحقيقية التي تم استغلالها في برنامج Notepad++ في عدم كفاية التحقق من التحديثات . فالإصدارات السابقة للإصدار 8.8.9 لم تكن تُطبّق بشكل صارم التحقق من التوقيع الرقمي ومطابقة الشهادات للملفات الثنائية المُنزّلة. وقد سمح هذا للمُحدِّث GUP.exeبتنزيل وتنفيذ برنامج خبيث update.exeدون ظهور أي تحذير واضح من النظام.
2. عملية “الشرنقة”: الحمولة الخفية
بينما تلقى ملايين المستخدمين تحديثات نظيفة، تم تزويد مجموعة مختارة من الأهداف البارزة – بشكل أساسي في قطاعي الاتصالات والمالية في شرق آسيا – بباب خلفي من نوع Chrysalis .
سلسلة التنفيذ الفني:
- إعادة التوجيه: يُطلب من المستخدم الشرعي GUP.exeتنزيل تحديث من عنوان IP ضار.
- برنامج التثبيت:update.exe يتم تنفيذ برنامج تثبيت NSIS خبيث ( ).
- تحميل ملفات DLL الجانبية: يقوم المثبت بإسقاط ملف Bitdefender الثنائي الشرعي ( BluetoothService.exe) والذي يقوم بدوره بتحميل ملف DLL ضار ( log.dll).
- تنفيذ Chrysalis: يقوم ملف DLL بفك تشفير وتشغيل شفرة Chrysalis في الذاكرة، متجنبًا الكشف التقليدي القائم على الملفات.
“عاش المهاجمون داخل البنية التحتية لمدة ستة أشهر، وقاموا بتسليم برامج التثبيت المصابة ببرامج التجسس يدويًا بينما قام ملايين المستخدمين الآخرين بتنزيل نسخ نظيفة. لقد كان هذا درسًا نموذجيًا في التخفي الموجه.”
3. مؤشرات الاختراق (IoC)
حددت فرق التحقيق الجنائي من شركتي Rapid7 وKaspersky عدة مؤشرات رئيسية. إذا كانت مؤسستك تستخدم برنامج Notepad++، فتحقق من سجلات النظام بحثًا عن المؤشرات التالية:
يكتب المؤشر / المسار وصف
عنوان IP 95.179.213.0 خادم توزيع يتحكم فيه المهاجم
مسار الملف %APPDATA%\Adobe\Scripts دليل مشبوه يستخدم لأغراض التجهيز
ملف تنفيذي update.exe تم إطلاق برنامج تثبيت خبيث من نوع NSIS بواسطةGUP.exe
مكتبة الارتباط الديناميكي الخبيثة log.dll الحمولة الجانبية لـ Chrysalis
مفتاح التسجيل HKCU\Software\Adobe\Acrobat\11.0\AVEnt يستخدم لآليات الاستمرارية
4. لماذا يُعد هذا الأمر مهمًا لعام 2026
يتبع هذا الهجوم أنماط هجمات SolarWinds وASUS ShadowHammer، لكن مع تركيز أكبر على الاستهداف الانتقائي . ومن خلال التصفية حسب نطاق عناوين IP، ضمنت شركة Lotus Blossom بقاء نشاطها المتعلق بلوحة المفاتيح غير مكتشف من قبل باحثي الأمن العالميين لأكثر من 180 يومًا.
كيفية تخفيف المخاطر:
- تحديث فوري: تأكد من تحديث جميع النسخ إلى Notepad++ 8.8.9 أو أعلى، والذي يفرض عمليات فحص صارمة للتوقيعات المشفرة.
- التثبيت اليدوي: في البيئات ذات مستوى الأمان العالي، تجنب استخدام أدوات التحديث داخل التطبيق. قم بتنزيل برنامج التثبيت يدويًا وتحقق من قيمة التجزئة SHA-256.
- مراقبة الشبكة: الإبلاغ عن أي حركة مرور صادرة من عناوين IP غير رسمية GUP.exeأو متجهة إليها.notepad++.exe
الحكم النهائي
تُعدّ حادثة Notepad++ بمثابة جرس إنذار لمجتمع البرمجيات مفتوحة المصدر. لم يعد أمن الكود كافيًا؛ بل أصبح أمن التوزيعات هو خط الدفاع الأول. ومع استمرار Lotus Blossom في تطوير مجموعة أدوات “Chrysalis”، يجب على القطاع أن يتجه نحو فرض توقيع الكود بشكل شامل على مستوى نظام التشغيل
