Notepad++ infrastructure hack likely tied to China-nexus APT Lotus Blossom

Un grupo de hackers respaldado por el estado chino, conocido como Lotus Blossom, comprometió la infraestructura de alojamiento de Notepad++, redirigiendo actualizaciones a servidores maliciosos entre junio y diciembre de 2025. El ataque no explotó vulnerabilidades en el código de Notepad++ sino que interceptó las actualizaciones antes de que llegaran a los usuarios, afectando selectivamente a ciertos usuarios. Los investigadores de Rapid7 Labs descubrieron que los atacantes desplegaron un nuevo backdoor personalizado llamado Chrysalis, utilizando técnicas sofisticadas como DLL sideloading y abusando de Microsoft Warbird para ocultar la ejecución de código. El proveedor de alojamiento ha tomado medidas para solucionar las vulnerabilidades y rotar las credenciales, pero el incidente destaca la evolución de las tácticas de Lotus Blossom y su uso de una combinación de malware personalizado y herramientas de frameworks conocidos como Metasploit y Cobalt Strike.