Im Anschluss an unsere frühere Mitteilung „[Wichtig] Sicherheitsvorfall-Hinweis zum Download-Link des EmEditor-Installers“ teilen wir mit, was wir durch weitere Untersuchungen erfahren haben, zusammen mit zusätzlichen Details, die die frühere Mitteilung ergänzen.

Wir entschuldigen uns nochmals aufrichtig für die ernste Besorgnis und die Unannehmlichkeiten, die dieser Vorfall verursacht hat.

1. Möglicherweise betroffener Zeitraum (US-Pazifikzeit / UTC)

In unserer früheren Mitteilung haben wir den Zeitraum in US-Pazifikzeit angegeben. Zur Information nennen wir zusätzlich die Koordinierte Weltzeit (UTC).

  • 19. Dez. 2025, 18:39 – 22. Dez. 2025, 12:50 (US-Pazifikzeit)
  • 2025-12-20 02:39 – 2025-12-22 20:50 (UTC)

Wenn Sie den Installer im oben genannten Zeitraum über den Download-Pfad der EmEditor-Website (zum Beispiel die Schaltfläche „Jetzt herunterladen“) heruntergeladen haben, besteht die Möglichkeit, dass Sie eine Datei heruntergeladen haben, die nicht der von uns (Emurasoft, Inc.) bereitgestellte rechtmäßige Installer war.

Bitte beachten Sie, dass der obige Zeitraum aus Vorsicht bewusst großzügig gewählt wurde. Das tatsächliche Zeitfenster war möglicherweise kürzer und auf bestimmte Zeiten beschränkt.

2. Zur verdächtigen Datei (bestätigte Unterschiede)

Für die Datei emed64_25.4.3.msi haben wir die Existenz von mindestens zwei verdächtigen Dateien bestätigt.

Wir haben außerdem bestätigt, dass beide verdächtigen Dateien mit von Microsoft ausgestellten digitalen Signaturen signiert waren. Da die Gültigkeitszeiträume extrem kurz waren (nur wenige Tage), gehen wir davon aus, dass die Zertifikate wahrscheinlich in einer Weise ausgestellt wurden, die einer entwicklerorientierten Ausstellung ähnelt.

Wir haben diesen Vorfall an Microsoft gemeldet, die verdächtigen Dateien bereitgestellt und die Sperrung der betreffenden Signaturen beantragt. Wir haben nun bestätigt, dass beide Signaturen gesperrt wurden. Infolgedessen sollte beim Versuch, die MSI auszuführen, eine Warnung erscheinen, dass die Signatur ungültig ist, wodurch die Installation erschwert wird.

Rechtmäßige Datei (offizieller EmEditor-Installer)

Problematische Datei Nr. 1

Problematische Datei Nr. 2

3. Wenn Sie die heruntergeladene Datei bereits gelöscht haben

Wenn Sie die heruntergeladene Datei (emed64_25.4.3.msi) noch haben, können Sie sie (wie zuvor angekündigt) überprüfen, indem Sie die digitale Signatur und/oder SHA-256 prüfen.

Selbst wenn Sie die Datei bereits gelöscht haben, hat Windows möglicherweise eine Kopie der bei der Installation verwendeten MSI unter C:\Windows\Installer unter einem anderen Namen aufbewahrt.

Da dieser Ordner sowohl ausgeblendet als auch vom Betriebssystem geschützt ist, kann es schwierig sein, ihn über die normale Datei-Explorer-Navigation zu finden. Öffnen Sie ihn bitte direkt, indem Sie C:\Windows\Installer eingeben.

Nach dem Öffnen des Ordners empfehlen wir die unten stehenden Schritte. Seien Sie bitte äußerst vorsichtig und doppelklicken oder starten Sie keine MSI-Dateien.

  1. Nach Datum sortieren (zum Beispiel „Datum der Änderung“)
  2. Auf aktuelle Dateien konzentrieren
  3. Die digitale Signatur der Zieldatei prüfen (Rechtsklick → Eigenschaften → Digitale Signaturen)

4. So prüfen Sie, ob Ihr Computer möglicherweise infiziert ist

Selbst wenn die verdächtige Datei ausgeführt wurde, ist eine Infektion in Umgebungen wie den folgenden nicht garantiert:

  • Das Gerät war offline
  • Ein VPN/Proxy war erforderlich
  • Verdächtiges PowerShell-Verhalten wurde durch Windows-Funktionen oder -Richtlinien blockiert
  • Die PowerShell-Ausführung war eingeschränkt
  • Antiviren-/Sicherheitssoftware hat die Aktivität blockiert

Wenn jedoch einer der folgenden Punkte zutrifft, ist die Wahrscheinlichkeit einer Infektion sehr hoch:

  • C:\ProgramData\tmp_mojo.log ist vorhanden
  • Eine geplante Aufgabe mit dem Namen Google Drive Caching ist vorhanden
  • background.vbs ist in %LOCALAPPDATA%\Google Drive Caching\ vorhanden
  • Eine Browsererweiterung mit dem Namen Google Drive Caching ist in einem Chromium-basierten Browser wie Chrome oder Microsoft Edge vorhanden (auch wenn sie angibt, von Google zu stammen) – insbesondere wenn sie „Daten auf allen Websites lesen und ändern“ kann und Zugriff auf die Zwischenablage hat
  • Netzwerkprotokolle zeigen Verbindungen zu einem der folgenden Ziele:
  • cachingdrive[.]com
  • emeditorde[.]com
  • emeditorgb[.]com
  • emeditorjp[.]com
  • emeditorsb[.]com

Wenn nichts davon zutrifft, ist das Risiko geringer – aber nicht null –, da ein Teil des Angriffs im Arbeitsspeicher ablaufen kann und nur wenige oder gar keine dateibasierten Spuren hinterlässt.

5. Bestätigtes Verhalten (Zieldomänen usw.)

Wie zuvor angekündigt, haben wir bestätigt, dass der verdächtige Installer bei der Ausführung zusätzliche Dateien von externen Domänen herunterlädt und ausführt.

Während wir zuvor den Zugriff auf emeditorjp[.]com bestätigt hatten, hat eine weitere Untersuchung zusätzlich Zugriffe auf emeditorde[.]com, emeditorgb[.]com und emeditorsb[.]com ergeben.

Keine dieser vier Domänen (emeditorjp[.]com, emeditorde[.]com, emeditorgb[.]com, emeditorsb[.]com) wird von uns (Emurasoft, Inc.) betrieben.

Wir haben außerdem bestätigt, dass der in der früheren Mitteilung beschriebene PowerShell-Befehl Dateien von externen Domänen herunterlädt und ausführt und dass dieses Verhalten zu einer Malware-Infektion und zum Diebstahl persönlicher Daten wie Passwörtern führen kann.

Weitere Einzelheiten entnehmen Sie bitte dem Forschungsbericht von Herrn Luca Palermo und Herrn Mario Ciccarelli. Herr Palermo hat uns den Bericht zur Verfügung gestellt und uns die Erlaubnis erteilt, ihn zu veröffentlichen; dafür möchten wir unseren aufrichtigen Dank aussprechen.

6. Warum dies „schwer zu erkennen“ war

Als grundlegende Tatsache gilt: Domänen und digitale Signaturen können unter bestimmten Bedingungen von Dritten erworben werden.

  • Domänen können häufig kostengünstig erworben werden, wenn sie ungenutzt sind oder nicht verlängert wurden.
  • Codesignaturzertifikate können im Allgemeinen von vielen Zertifizierungsstellen bezogen werden (in diesem Fall war der Aussteller Microsoft).
  • Sobald ein Problem entdeckt wird, besteht die wichtigste verfügbare Reaktion darin, den Aussteller bzw. die Zertifizierungsstelle zu kontaktieren und die Sperrung zu beantragen.

Aus technischer Sicht können MSI-Installer über benutzerdefinierte Aktionen beliebige Skripte (einschließlich PowerShell) enthalten. Mit ausreichendem Wissen kann ein Angreifer einen Malware-Loader in einen Installer einschleusen, der einem rechtmäßigen, weit verbreiteten Installer sehr ähnlich sieht.

Selbst wenn der Installer eine EXE und keine MSI wäre, wären ähnliche Angriffe weiterhin möglich.

Leider bedeutet dies, dass es für Softwareunternehmen schwierig ist, die Erstellung und Verbreitung bösartiger Installer, die rechtmäßige genau nachahmen, vollständig zu verhindern. Wir müssen davon ausgehen, dass ähnlich ausgefeilte, mehrstufige Malware-Installer in Zukunft erneut auftreten könnten.

Dennoch sind wir der Ansicht, dass sich die Kernprobleme dieses Vorfalls wie folgt zusammenfassen lassen:

  1. Eine praktische Weiterleitung (Download-Pfad), die auf unserer Website verwendet wurde, wurde unbemerkt geändert.
  2. Ein bösartiger Installer wurde von einem externen Akteur auf unserer Website platziert.

Da beides zusammenkam, übernehmen wir die volle Verantwortung dafür, dass Kunden nach dem Herunterladen von unserer offiziellen Website zu Schaden gekommen sind, und werden dies in unseren künftigen vorbeugenden Maßnahmen berücksichtigen.

6-1. Bösartige Dateien auf der EmEditor-Website

Zusätzlich zum bösartigen Installer emed64_25.4.3.msi haben wir im Plugin-Verzeichnis eine Datei namens base64.php entdeckt. Nach der Analyse von base64.php haben wir festgestellt, dass es sich um eine typische Backdoor handelt (Remote Code Execution / RCE).

Wir haben außerdem festgestellt, dass ein Skript zu footer.php (im WordPress-Theme-Verzeichnis) hinzugefügt worden war. Dieses Skript kaperte Klicks, die für die rechtmäßige URL bestimmt waren:

  • https://support.emeditor.com/ja/downloads/latest/installer/64

und leitete sie um zu:

  • /wp-content/uploads/filebase/emeditor-core/emed64_25.4.3.msi

Infolgedessen konnte das Anklicken der Schaltfläche „Jetzt herunterladen“ auf der Startseite zum Herunterladen der bösartigen Datei führen.

Besonders bösartig war, dass das Skript so konfiguriert war, dass es nur bei Besuchern ausgelöst wurde, die nicht angemeldet waren, wodurch das Problem für Administratoren schwer zu reproduzieren und zu erkennen war. Infolgedessen bemerkten wir selbst bei unserer eigenen Überprüfung der Website nicht sofort, dass die Weiterleitung geändert worden war.

7. Ursache (aktuelle Einschätzung)

Wir untersuchen den Vorfall noch und sind zu keinem endgültigen Schluss gekommen. Wir ziehen jedoch die folgenden Möglichkeiten in Betracht.

WordPress besteht aus mehreren Komponenten – Kern, Plugins, Themes und mehr –, die von vielen Entwicklern gepflegt werden. In diesen Komponenten werden regelmäßig Schwachstellen entdeckt, und im Laufe der Zeit werden Updates veröffentlicht.

Wir aktualisieren Plugins und Themes regelmäßig, in einigen Fällen können Schwachstellen jedoch über längere Zeit ungepatcht bleiben. Es ist möglich, dass der Angriff eine solche Schwachstelle ausgenutzt hat.

Es ist auch möglich, dass das verwendete SFTP-Konto angegriffen wurde.

8. Unsere Reaktion (abgeschlossen / geplant)

Wir haben die bösartige Datei emed64_25.4.3.msi sofort gelöscht. Wir haben außerdem die Dateiänderungsprotokolle überprüft und das Hinzufügen von base64[.]php sowie Änderungen an footer[.]php bestätigt. Nachdem wir base64[.]php als Backdoor identifiziert hatten, haben wir die gesamte Website gescannt.

Anschließend haben wir die Website neu aufgebaut, alle Plugins neu installiert und unnötige Plugins entfernt. Wir haben auch interne Computer gescannt und die Anmeldepasswörter für alle WordPress-Websites und zugehörigen Dienste geändert. Wir haben mehrere von uns genutzte Dienste anhand ihrer Protokolle geprüft.

Darüber hinaus haben wir die Verwendung von Weiterleitungen für Download-Schaltflächen wie „Jetzt herunterladen“ eingestellt und sie durch direkte Links zu verifizierten sicheren Dateien ersetzt. Wir haben außerdem die Download-Seite aktualisiert, um die SHA-256 der MSI deutlich anzuzeigen, und Anweisungen hinzugefügt, die Benutzer ermutigen, die digitale Signatur zu überprüfen.

Um den Download-Pfad der EmEditor-Startseite weiter zu stärken, erwägen wir außerdem, die Website in naher Zukunft auf eine benutzerdefinierte/statische Website anstelle von WordPress zu migrieren.

9. Schluss

Wie oben beschrieben, kann ein manipulierter Installer bei der Ausführung äußerst gefährliche Aktionen ausführen. Gleichzeitig können wir nicht grundsätzlich verhindern, dass Dritte bösartige Installer erstellen und verbreiten, die rechtmäßige nachahmen.

Daher ist unser oberstes Ziel, sicherzustellen, dass niemand über unsere Website Malware erhalten kann, da sie unser primärer Vertriebskanal ist.

Dieser Vorfall hat uns auch daran erinnert, dass beliebte CMS-Plattformen wie Xoops und WordPress zwar praktisch sind, ihre Erweiterbarkeit jedoch die Anfälligkeit für Schwachstellen erhöhen kann – und dass das bloße Aktualisieren von Plugins und Themes das Risiko nicht vollständig beseitigt.

Glücklicherweise wurde das Emurasoft Customer Center nicht kompromittiert, und unsere Datenbank blieb sicher. Wir haben keine Hinweise darauf, dass jemand auf unsere Kundendatenbank zugegriffen hat.

In der Hoffnung, dass das, was wir aus diesem Vorfall gelernt haben, anderen Softwareunternehmen hilft, haben wir so viele Details und Kontext wie möglich aufgenommen, anstatt dies auf einen kurzen Bericht zu beschränken.

Wir entschuldigen uns noch einmal aufrichtig für die entstandenen Unannehmlichkeiten und die Besorgnis. Insbesondere entschuldigen wir uns bei denen, die im Zusammenhang mit einer Infektion zu Schaden gekommen sind.

Vielen Dank für Ihre fortwährende Unterstützung von EmEditor.