Notepad++ からの SOS：模倣サイトをシャットダウンしてほしい！

Notepad++ wants your help in “parasite website” shutdown

2024/04/08 BleepingComputer — Notepad++ の開発者が、一般に対して求めている協力とは、Notepad++ に酷似しているが、プロジェクトとは無関係である、模倣 Web サイトの閉鎖に関するものだ。現時点では、この模倣サイトは、訪問者を Notepad++ の公式ダウンロード・ページに誘導している。しかし、今後において懸念されるのは、悪意のリリースやスパムの意図的なプッシュといった、セキュリティ上の脅威となる可能性である。

パラサイト Web サイトをシャットダウンしてほしい！

Notepad++ は、無償で提供される OSS テキスト・エディター・プロジェクトである。Notepad++ プロジェクトの公式 Web サイトは、notepad-plus-plus.org である。しかし、そっくりな Web サイトとして、notepad[.]plus があり、その閉鎖に協力するよう、一般に対して助けを求めている。このサイトは、Notepad++ のブランディングを使用して、検索エンジンの検索結果で、上位にランクされることさえあるのだ。

Notepad++ の開発者である Don Ho は、「私たちのコミュニティに重大な脅威をもたらす Web サイトについて、電子メール／SNS／フォーラムなどを介して、数多くの苦情が寄せられている」と述べている。

Ho によると、問題のサイト notepad[.]plus は、ユーザーが「download Notepad++」と検索すると、検索結果の上位に表示される。それについては、BleepingComputer も確認している：

Ho は、「一部のユーザーは、Notepad++ の公式サイトだと勘違いする。それは、ユーザーの不満と、潜在的なセキュリティ・リスクにつながる」と述べている。

問題の Web サイトの下部には、「非公式のファンサイト」であり、プロジェクトとは「無関係」であることを明記する、以下のような明確な免責条項がある。

Notepad++ は、Don HO の商標であり、Notepad[.]plus は、Don HO といかなる提携／後援／支持も行っていない。この Web サイトは、一般的な情報／教育目的のみのために作成された、非公式のファンサイトだ。本サイトに記載されている内容は、全て私たちの個人的な意見であり、Don HO または、その代表者の意見や見解を反映するものではない。その他の商標は各所有者に帰属する。

公式サイトにリダイレクトしているファンサイトなのか？

特筆すべきは、このファンサイトが、訪問者を notepad-plus-plus.org にホストされている、公式の Notepad++ のダウンロード・ページに誘導している点だ。

しかし、Ho は、「このサイトには隠された意図がある。全てのページに、悪質な広告がちりばめられている」と主張している。彼が指摘するのは、このような広告は、無防備な Notepad++ を欺くものであり、非公式サイトの管理者に収益をもたらすリンクを、クリックさせる可能性があるという点だ。

Ho は、このサイトを “parasite website” と呼び、「このサイトの真の目的は、正規の Notepad++ サイト notepad-plus-plus.org からトラフィックを逸らすことにある。つまり、潜在的にユーザーの安全を損ない、われわれのコミュニティの完全性を損なうものだ」と述べている。

BleepingComputer は、notepad[.]plus サイトの最新版と過去のアーカイブをチェックした。

同サイトのトップページには、広告バナーを掲載するための領域が上部にあるように見える。しかし、その領域にアクティブな広告が掲載されることはなく、Web サイト上に宣伝用のリンクが掲載されることもなかった。そして、Notepad++ の使い方に関するブログ記事が複数あった。

Ho は、Google セーフ・ブラウジングの「悪意のソフトウェアを報告する」フォームから、この Web  サイトを報告するよう、一般に呼びかけている。しかし、現在のところ、この非公式サイトから悪意のソフトウェアがリリースされているわけでもなく、あからさまに安全でないと分類されるようなものもない。したがって、このような Ho のアプローチは実を結ばないかもしれない。さらに、前述の免責事項があるため、この Web サイトは、そのような非難から逃れているのかもしれない。

その一方で、非公式の Web サイトが使用している、Notepad++ のロゴとブランドは、商標規則に抵触する可能性がある。

技術レポーターの Catalin Cimpanu は、Mastodon のスレッドで、Notepad++ のブログ記事をシェアした。多くのコミュニティ・メンバーが、この非公式サイトを報告し始めている。しかし、ある開発者は、悪意のソフトウェアを配布しているとして、このサイトを報告するのは “誤り” だと反論している。

Robby Zambito は、「私は同意できない。この投稿は、非常に刺激的な言葉でいっぱいだ。しかし、この模倣サイトを参照してみたが、本当に何の問題もないのだ。模倣サイトに表示されているダウンロード・ボタンは、Notepad++ の公式サイトにリダイレクトされるだけであり、彼ら自身がソフトウェアを配布しているわけでもない。Notepad++ の開発者たちは、この模倣サイトが “コミュニティへの脅威” だとしているが、私には、大したことには思えない」と述べている。

さらに彼は、「むしろ、このソフトウェアのメンテナンスに関する、彼らの口出しが、脅威になるようにも聞こえる。確かに、信頼を得た彼らは、やがてマルウェアを配布し始めるかもしれない。しかし、notepad-plus-plus のサイトを運営している人々も同じかもしれない」と付け加えている。

つい先日には、XZ ユーティリティのような、大規模なオープンソース・プロジェクトに、バックドアが注入されている。それは、公式プロジェクトのメンテナーの信頼を得ながら、不正をはたらく開発者により行われている。したがって、信頼された” 研究者たちが、公式プロジェクトに悪意のコードを提供するというケースは、珍しい話ではない。

このような不正行為が摘発される背景には、オープンソースのエコシステムを常に精査している、数多くの鋭い目を持つコミュニティ・メンバーの努力がある。

Notepad++ の人気の高さから、トロイの木馬化されたバージョンにより、そのユーザーたちも頻繁に狙われている。そのため、Notepad++ のような OSS プロジェクトを、公式の Web サイトやリポジトリから利用することは、それ以外の方式と比べて、はるかに安全なアプローチであることに変わりはない。

とても、ややこしい話ですね。この Notepad++ パラサイトの目的は、いったい どこにあるのでしょうか？ Ho さんの心配と懸念も理解できますが、それに対する反論も理解できてしまいます。それ以上、コメントしようのない、とても珍しい出来ごとです。