Entre juin et décembre 2025, des hackeurs ont exécuté une attaque sur chaîne d’approvisionnement hautement sophistiquée (ndlr Chrysalis) visant le mécanisme de mise à jour de Notepad++, un éditeur de texte très populaire, utilisé et téléchargé environ 80 000 fois par jour. Plutôt que d’attaquer la base de code source de Notepad++, c’est le fournisseur d’hébergement partagé qui servait à effectuer les mises à jour du logiciel qui a été compromis. Ainsi, il leur a été possible d’intercepter et de manipuler le trafic réseau de de nombreuses entreprises, distribuant silencieusement des installations malveillantes, et tout particulièrement sur des cibles sélectionnées comme des solutions de cybersécurité. De nombreux systèmes ont été piratés entraînant des compromissions massives sur des données critiques.
Comment l’attaque Chrysalis a opéré ?
Le programme de mise à jour de Notepad++ (WinGUp) a demandé un fichier XML contenant l’URL du dernier installateur. Les versions antérieures de WinGUp ne disposaient d’aucun système de validation de certificat, ni de validation de signature: ce qui signifiait qu’elles faisaient aveuglément confiance à toute URL renvoyée par le serveur. Les attaquants ont exploité cette faiblesse en interceptant la réponse XML pour y substituer le lien de téléchargement légitime de mises à jour de Notepad++ par un lien malveillant sous leur contrôle.
Par conséquence, les utilisateurs de Notepad++ qui ont cliqué sur « Vérifier les mises à jour » ont téléchargé et exécuté un installateur truffé de logiciels espions, tout en pensant qu’il était de confiance. Comme Notepad++ est largement déployé dans de nombreuses industries, les victimes de cette attaque très sophistiquée comptaient non seulement des particuliers mais aussi des organisations corporatives et gouvernementales. Voilà comment un programme de mise à jour de logiciel supposé inoffensif a pu être détourné au cours d’une période de six mois.
Pourquoi les systèmes de sécurité traditionnels centrés sur les menaces ont failli?
Au lieu d’attaquer le logiciel lui-même, les attaquants ont compromis son fournisseur d’hébergement. Cela leur a donné un pouvoir terrifiant : la capacité à remplacer silencieusement les liens de mise à jour légitimes par des installateurs malveillants, et ce directement dans un flux de mise à jour logiciel réputé de confiance.
Aucune alarme. Aucun signal d’alerte.
Juste une mise à jour apparemment normale qui a livré des logiciels espions à des victimes soigneusement choisies. Pendant six mois, l’opération est restée invisible, enchainant l’espionage sur les trafics de données, dérobant des identifiants internes volés et presque sans aucune trace digitale légale.
Les solutions de sécurité traditionnelles « threat§centric » comme les EDRs n’ont pas pu détecter l’attaque Chrysalis car elles sont conçues pour rechercher les comportements suspects. Dans le contexte de cette attaque:
- Chrysalis est arrivé par un chemin de mise à jour réputé de confiance sans aucun soupçon sur son origine. Le malware n’est pas entré dans les machines en tant que binaire inconnu, mais par le biais d’un flux de mise à jour Notepad++ légitime, normalement approuvé par les contrôles de sécurité.
- Les EDRs analysent des indicateurs de compromission tels que la réputation de la source, la lignée des processus et le comportement attendu, tandis que Chrysalis est arrivé selon un processus de mise à jour signé, approuvé et attendu.
- Chrysalis a utilisé le chargement latéral de DLL, abusant de l’ordre de recherche normal de Windows non filtré par les EDRs, en plaçant une DLL malveillante à côté d’un exécutable légitime.
- La porte dérobée était silencieuse, peu bruyante et orientée espionnage avec d’autres objectifs que le chiffrement ou la destruction de données.
- Enfin, le malware Chrysalis a opéré « à l’intérieur de la zone de confiance» où les contrôles de sécurité sont plus permissifs.
Redéfinir la notion de Confiance dans la sécurité Internet n’est plus une option
Chrysalis n’était pas qu’une simple nouvelle attaque, mais un avertissement démontrant la puissance d’une attaque scrupuleusement conçue. Elle a révélé l’urgence de renforcer tous les boucliers de protection existants avec une approche proactive complémentaire aux solutions réactives centrées sur les menaces.
Ekinops’ Zero Trust Internet Access (ZTIA) autorise les accès Internet uniquement aux domaines vérifiés et légitimes, éliminant ainsi les risques liés aux contenus non identifiés tout en protégeant des cyberattaques basées sur le web, y compris les plus complexes comme Chrysalis. Les modèles de sécurité traditionnels « centrés sur les menaces » ont non seulement du mal à contrer l’ultra-sophistication de nouvelles attaques, mais aussi du mal à contrer l’explosion de nouveaux malwares qui surgissent chaque jour depuis des nouveaux sites malveillants. Le Zero Trust Internet Access (ZTIA) d’Ekinops fournit systèmes d'information avec Une couche de sécurité fiable et non restrictive axée sur la confiance : l’accès aux URL inconnues et non vérifiées est simplement bloqué. Ekinops est un fournisseur mondial de solutions de connectivité réseau ouvertes, fiables et innovantes pour les opérateurs de télécommunications et les entreprises à travers le monde. Ekinops est coté à la Bourse Euronext Paris. En juin 2025, Ekinops a acquis Olfeo, une société française de cybersécurité spécialisée dans l’accès sécurisé à Internet via sa plateforme Security Service Edge (SSE) depuis 2003. Cette alliance a créé un leader européen du SASE qui fédère connectivité, sécurité réseau et contrôle d’accès.
Au cœur des solutions Ekinops se trouve l’exclusivité Zero Trust Internet Access , qui protège les systèmes d’information en autorisant uniquement le contenu web légitime et vérifié, couvrant plus de 99 % des requêtes web. Combinée avec Ekinops SD-WAN, elle offre la première solution européenne proposant à la fois des performances réseau optimisées et un accès sécurisé aux applications.
Disponibles en modèles SaaS ou On-Premise, les solutions Ekinops sont rapides à déployer et incluent des fonctionnalités de cybersécurité avancées telles que le SWG, le DNS, le CASB et la DLP.
Pour en savoir plus, contactez-nous.
