Attenzione al falso sito Notepad++ per Mac: rischi di sicurezza e come proteggersi

Introduzione rapida per utenti comuni

Un sito web falso sta cercando di ingannare gli utenti Mac promettendo una versione ufficiale di Notepad++. La soluzione è semplice: scarica Notepad++ solo dal sito ufficiale notepad-plus-plus.org, che rimane disponibile esclusivamente per Windows. Se hai già scaricato qualcosa dal sito falso, esegui immediatamente una scansione di sicurezza sul tuo Mac.

Non esistono versioni ufficiali di Notepad++ per macOS, e qualsiasi sito che le promette è fraudolento. Continua a leggere per comprendere completamente il rischio e come proteggerti.

Il problema: un falso Notepad++ per Mac

Un sito web operante sotto il dominio notepad-plus-plus-mac.org si presenta falsamente come il rilascio ufficiale di Notepad++ per dispositivi Apple, ingannando migliaia di utenti che cercano semplicemente un editor di testo affidabile per il loro Mac.

Ciò che rende questa situazione particolarmente pericolosa è che il sito web ha già ingannato importanti testate tecniche, tra cui MacRumors e AlternativeTo, portandole a segnalare il prodotto come un lancio legittimo.

Perché è una truffa

Notepad++ è stato un editor di testo esclusivamente per Windows per oltre due decenni. Il suo creatore, Don Ho, non ha mai rilasciato alcuna versione per macOS. Tuttavia, il sito falso afferma audacemente che “Notepad++ è ora disponibile nativamente per macOS” con “nessun Wine, nessuna emulazione” e si presenta come “un port nativo completo per Apple Silicon e Mac Intel”.

Per aggravare ulteriormente le cose, il sito utilizza il nome e la biografia di Don Ho sulla sua pagina autore senza alcuna autorizzazione, creando una falsa impressione di approvazione ufficiale.

La risposta della comunità di sicurezza

Analisti del settore della sicurezza informatica sono stati tra i primi a segnalare pubblicamente la minaccia, sottolineando che il sito web utilizza il marchio Notepad++ e l’identità del fondatore senza autorizzazione. L’avvertimento ha raggiunto quasi 40.000 visualizzazioni nel giro di poche ore, segnalando quanto diffusa fosse diventata la confusione.

Utenti su piattaforme di social media hanno anche aggiunto contesto, chiarendo che il sito rappresenta un port di comunità non ufficiale e non è affiliato al team di sviluppo originale di Notepad++ in alcun modo.

Chi è dietro al sito falso

Lo sviluppatore dietro il sito, Andrey Letov, un ingegnere del software da New York, ha costruito la sua applicazione basandosi sul codice open-source di Notepad++. Anche se il fork del software open-source è generalmente accettabile, marchiare un fork indipendente con il nome, il logo e l’identità del fondatore del prodotto originale supera una chiara linea legale ed etica.

Don Ho ha riconosciuto in una dichiarazione pubblica che non ha nulla contro il forking open-source stesso, ma il problema è l’uso deliberato del suo nome e del marchio, che crea confusione diretta tra gli utenti finali e la stampa.

Il rischio concreto: come potrebbe danneggiarti

Il rischio principale con qualsiasi build di software non ufficiale commercializzato sotto un nome affidabile è che gli utenti non hanno modo di verificare cosa è effettivamente contenuto nel programma di installazione.

Gli attori malevoli utilizzano regolarmente questa tecnica, nota come brand impersonation o typosquatting, per distribuire malware, infostealers o trojan di accesso remoto sotto la copertura di un’applicazione ben nota.

Ricercatori di sicurezza hanno documentato in passato siti falsi di Notepad++ che distribuiscono payload attraverso metodi di DLL sideloading, in cui un file di libreria dannoso viene posizionato accanto a un binario legittimo per eseguire silenziosamente codice dannoso sulla macchina della vittima.

Quando un utente scarica un programma di installazione da una fonte non verificata, il computer può essere compromesso senza segni visibili, rendendo il rilevamento difficile fino a quando non si verificano danni significativi.

Come proteggersi

Scarica sempre Notepad++ o qualsiasi software dal suo sito web ufficiale. Nel caso di Notepad++, visita notepad-plus-plus.org e nient’altro. Evita di installare applicazioni da domini di terze parti, anche se sembrano professionali o ricevono copertura mediatica.

Sempre verifica l’editore e controlla le firme digitali prima di eseguire qualsiasi programma di installazione. Se hai già scaricato la versione Mac da notepad-plus-plus-mac.org, scansiona immediatamente il tuo dispositivo con uno strumento di sicurezza affidabile.

Contesto storico: l’attacco alla catena di approvvigionamento precedente

Questo incidente arriva sullo sfondo del fatto che Notepad++ ha già affrontato un grave attacco alla catena di approvvigionamento tra giugno e dicembre 2025, in cui hacker sponsorizzati dallo stato cinese dal gruppo Lotus Blossom hanno compromesso l’infrastruttura di aggiornamento ufficiale di Notepad++ e hanno distribuito una backdoor dannosa chiamata Chrysalis agli utenti mirati.

Quell’incidente precedente rende la comunità particolarmente sensibile a qualsiasi cosa che imiti il marchio Notepad++. Don Ho stesso ha avvertito che nel peggiore dei casi, un prodotto che porta il nome Notepad++ potrebbe essere utilizzato per distribuire malware o una backdoor a utenti ignari.

Approfondimento tecnico per professionisti

Metodologie di attacco: brand impersonation e typosquatting

La tecnica di brand impersonation utilizzata in questo caso rappresenta un vettore di attacco sofisticato nel panorama delle minacce contemporanee. Gli attori malevoli sfruttano la fiducia degli utenti nei marchi consolidati per ridurre le barriere psicologiche all’installazione di software potenzialmente dannoso.

Il typosquatting, una variante correlata, sfrutta errori di battitura negli URL o nei nomi di dominio per catturare utenti distratti. In questo caso, il dominio notepad-plus-plus-mac.org è sufficientemente simile al legittimo notepad-plus-plus.org da indurre confusione, specialmente per utenti che cercano rapidamente una soluzione.

Vettori di distribuzione di malware: DLL sideloading

Il DLL sideloading è una tecnica particolarmente insidiosa che sfrutta il modo in cui i sistemi operativi caricano le librerie dinamiche. Quando un’applicazione legittima cerca una libreria dipendente, il sistema operativo cerca in una serie di percorsi predefiniti. Se un file dannoso con lo stesso nome si trova in uno di questi percorsi, il sistema lo caricherà invece della libreria legittima.

In un’applicazione Notepad++ compromessa, gli attori potrebbero:

1. Includere un binario Notepad++ legittimo o leggermente modificato
2. Posizionare una DLL dannosa nella stessa directory con un nome che Notepad++ tenta di caricare
3. Eseguire il codice dannoso con i privilegi dell’applicazione ospite
4. Mantenere l’apparenza di funzionamento normale dell’applicazione

Questo approccio è particolarmente efficace perché il software antivirus potrebbe non riconoscere il file DLL come dannoso se isolato, poiché il suo comportamento malevolo dipende dal contesto di caricamento.

Implicazioni della catena di approvvigionamento

L’attacco precedente alla catena di approvvigionamento di Notepad++ da parte del gruppo Lotus Blossom ha dimostrato che gli attori sponsorizzati dallo stato sono disposti a investire risorse significative per compromettere l’infrastruttura di software ampiamente utilizzato. Ciò aumenta il rischio associato a versioni non ufficiali, poiché gli utenti potrebbero avere una fiducia infondatamente elevata in qualsiasi software che appaia come una versione ufficiale.

Verificazione di integrità e firme digitali

Gli utenti tecnici dovrebbero implementare verifiche rigorose di integrità prima di eseguire qualsiasi software scaricato:

1. Verificare le firme digitali del codice utilizzando i certificati pubblici dell’editore
2. Confrontare gli hash SHA-256 dei file scaricati con quelli pubblicati ufficialmente
3. Utilizzare strumenti di analisi statica per ispezionare i binari prima dell’esecuzione
4. Considerare l’esecuzione in ambienti sandbox o macchine virtuali per il software sconosciuto

Per Notepad++ specificamente, gli utenti dovrebbero verificare che i file scaricati provengono dal repository GitHub ufficiale del progetto e che le build sono firmate con i certificati di sviluppo riconosciuti.

Indicatori di compromissione

I professionisti della sicurezza dovrebbero monitorare i seguenti indicatori di compromissione:

1. Connessioni di rete inaspettate verso indirizzi IP o domini sconosciuti
2. Modifiche ai file di sistema o alle chiavi del registro non autorizzate
3. Processi figlio inaspettati generati dall’applicazione
4. Utilizzo anomalo delle risorse di sistema durante l’inattività apparente
5. Modifiche ai file di configurazione dell’applicazione

L’utilizzo di strumenti di monitoraggio del comportamento come Process Monitor, Wireshark e Procmon può aiutare a identificare attività sospette associate a software compromesso.

Fonte: https://cybersecuritynews.com/beware-of-fake-notepad-for-mac-website/