softwaresecurity

Даже если хеш загруженного файла совпадает, вы всё равно можете получить не то программное обеспечение.
Контрольная сумма отвечает на вопрос: «Соответствует ли этот файл данному эталонному значению?» Но она не отвечает на вопрос: «Кто предоставил мне это эталонное значение?»
Если злоумышленник подменит и установщик, и хеш рядом с ним, они будут идеально совпадать. Посылка с собственноручно написанной квитанцией не является независимым подтверждением.
В инструкциях по загрузке Bitcoin Core контрольные суммы файлов отделены от подписей списка контрольных сумм. Это различие полезно не только для Bitcoin.
- Перейдите на официальную страницу загрузки проекта, воспользовавшись надёжной закладкой или самостоятельно проверив адрес.

Notepad++ подтверждает, что нарушение инфраструктуры позволило злоумышленникам перенаправлять обновления на вредоносные серверы с июня по декабрь 2025 года, затрагивая избирательных пользователей.
Разработчик Notepad++, одного из самых популярных текстовых редакторов в мире, раскрыл сложную кибератаку, которая длилась шесть месяцев и скомпрометировала инфраструктуру обновлений программного обеспечения. Эксперты по безопасности связали это нарушение с китайской группой, поддерживаемой государством, которая избирательно перенаправляла пользователей на вредоносные серверы.
Согласно The_Cyber_News в X, хакеры захватили сервера обновлений Notepad++, чтобы перенаправить пользователей на вредоносную инфраструктуру. Нарушение использовало уязвимости в том, как более старые версии проверяли пакеты обновлений до выхода версии 8.8.9.