Hacker Manfaatkan Plugin Notepad++ untuk Instal Malware Secara Diam-Diam
Tim respons insiden Ukraina, CERT-UA, mengungkap kampanye serangan yang menyalahgunakan mekanisme plugin Notepad++ untuk menjalankan malware secara lebih tersembunyi. Dalam serangan ini, pelaku tidak mengeksploitasi celah pada Notepad++ maupun melakukan kompromi supply chain terhadap aplikasi resminya.
Alih-alih menyerang produk Notepad++ secara langsung, operator kampanye mendistribusikan paket berisi salinan Notepad++ legitimate bersama komponen berbahaya yang disamarkan sebagai plugin. Teknik ini membuat eksekusi kode jahat tampak seperti aktivitas normal dari aplikasi yang umum digunakan di lingkungan Windows.
UAC-0099 Ubah Rantai Infeksi
Kampanye tersebut dikaitkan dengan klaster ancaman UAC-0099, grup yang selama ini banyak menargetkan organisasi di Ukraina. Aktivitas UAC-0099 sebelumnya juga pernah dikaitkan dengan penyediaan akses awal untuk operasi yang dilakukan APT44, atau Sandworm.
Dalam pola terbaru, korban menerima arsip ZIP yang memuat skrip VBS yang disamarkan sebagai dokumen PDF. Ketika dijalankan, skrip tersebut mengambil arsip lain bernama Evernote.zip. Arsip kedua ini berisi Notepad++ versi 8.8.3, file plugin berbahaya NppExport.dll, arsip updater.rar yang dilindungi kata sandi, serta executable WinRAR legitimate.
Plugin Palsu Memuat LunchPoke dan Loader Lanjutan
Setelah paket dipasang ke direktori acak, skrip menjalankan Notepad++. Aplikasi kemudian memuat NppExport.dll melalui mekanisme plugin-loading normal. DLL tersebut diidentifikasi sebagai LunchPoke, komponen yang membuat scheduled task di Windows dan mengekstrak isi arsip RAR, termasuk RemoteLibUpdater.exe dan InitTest.dll.
RemoteLibUpdater.exe disebut sebagai BurnyBear, loader yang bertugas memuat DLL berikutnya, yakni MatchBoil V2. Komponen lanjutan ini dapat memperbarui konfigurasi dan alamat command-and-control (C2), membuat scheduled task tambahan, serta memakai WinRAR untuk mengekstrak program yang diunduh pada tahap berikutnya.
BurnyBear juga memiliki mekanisme fallback bila proses utama gagal dijalankan. Dalam kondisi tersebut, malware dapat memicu konsumsi sumber daya tinggi pada RAM dan CPU. Perilaku ini berpotensi mengganggu analisis, membuat host tidak stabil, atau mengalihkan perhatian dari aktivitas utama serangan.
Bukan Supply Chain, tetapi Penyalahgunaan Fitur Normal
Kasus ini penting karena menunjukkan bahwa software legitimate tetap dapat menjadi bagian dari rantai infeksi ketika dijalankan dari paket yang tidak tepercaya. Notepad++ memang mendukung pemuatan plugin sebagai fitur normal, sehingga pertahanan yang hanya mengandalkan reputasi proses dapat melewatkan konteks berbahaya di balik eksekusi tersebut.
CERT-UA juga menyinggung CVE-2025-56383, yang tercatat sebagai isu DLL hijacking pada Notepad++ 8.8.3. Namun, tim Notepad++ membantah klasifikasi tersebut sebagai kerentanan produk, dengan alasan bahwa pemuatan plugin DLL merupakan fungsi yang memang dirancang dalam arsitektur aplikasi.
Terlepas dari perdebatan klasifikasi tersebut, risiko operasionalnya tetap nyata. Organisasi perlu memantau eksekusi Notepad++ dari lokasi tidak biasa, DLL yang dimuat dari folder pengguna atau direktori acak, pembuatan scheduled task baru, serta penggunaan VBS, arsip terlindungi kata sandi, dan WinRAR dalam satu rantai eksekusi.
Administrator disarankan memperbarui Notepad++ ke versi 8.9.7, 7-Zip ke versi 26.02, dan WinRAR ke versi 7.23. Pembatasan eksekusi skrip VBS, penerapan Application Control seperti WDAC atau AppLocker, serta kontrol daftar plugin Notepad++ yang diizinkan juga dapat membantu menekan risiko serangan serupa.
Sumber: CERT-UA
