EmEditor 遭攻陷：“沃尔沙姆” 伪装者篡改官方安装包，植入间谍软件

一起重大供应链安全事件爆发，知名文本编辑器 EmEditor 证实其官方下载渠道在圣诞节前数日遭攻陷。奇安信威胁情报中心红滴团队发布详细分析报告显示，近四天时间里，毫无防备的开发者与 IT 从业者下载的并非信赖的文本编辑器，而是一款高难度信息窃取木马。

该事件发生于 2025 年 12 月 19 日至 22 日期间，攻击者通过隐秘手段篡改官网下载按钮跳转配置，将其指向一个遭攻陷路径中托管的恶意文件。

据 12 月 23 日发布的官方公告，攻击者成功篡改网站跳转设置，用户点击 “立即下载” 按钮时，会在不知情的情况下下载到恶意 MSI 安装包。

此次事件中最明显的危险信号在于数字签名：正版 EmEditor 软件的签名主体为 “Emurasoft 公司”，而这批恶意文件的签名却显示为 “沃尔沙姆投资有限公司（WALSHAM INVESTMENTS LIMITED）”。

报告明确指出：“官方 MSI 安装包已被替换为恶意版本，所用签名为非官方的沃尔沙姆投资有限公司。”

隐藏在安装包中的恶意软件绝非简单下载器，而是一款功能全面的敏感数据窃取工具。恶意 MSI 运行后会启动内置脚本，触发 PowerShell 命令，暗中收集系统信息并生成 RSA 密钥，对窃取的数据进行加密处理。

其窃取范围极为广泛，重点目标包括：

・VPN 配置信息：盗取访问凭证

・浏览器数据：提取谷歌浏览器、Edge、勇敢浏览器、欧朋浏览器的 Cookie、浏览记录及登录信息

・应用账号凭证：窃取 Zoho 邮箱、印象笔记、Discord、Slack、Zoom、WinSCP 及 PuTTY 中的核心数据

・本地文件：泄露桌面、文档及下载文件夹中的各类文档

此次攻击最具技术含量的部分，是其搭载的持久化驻留机制。为实现长期控制目标设备，恶意软件会安装一款名为 “谷歌云端硬盘缓存（Google Drive Caching）” 的恶意浏览器扩展程序（ID：ngahobakhbdpmokneiohlfofdmgpakd）。

红滴团队指出：“该恶意软件最终会安装一款浏览器扩展以实现持久化驻留，这款名为谷歌云端硬盘缓存的扩展，本质是一款功能完备的信息窃取恶意软件。”

这款恶意扩展堪称网络间谍活动的 “万能工具”，内置多种恶意模块，可实现键盘记录、屏幕截图、窃取脸书广告账号，甚至能劫持剪贴板，将用户剪贴板中的加密货币钱包地址替换为攻击者控制的地址。

恶意软件中还暗藏一个关键线索，可侧面推测威胁攻击者的来源或攻击规则 —— 其内置了严格的 **“禁止感染” 名单 **。脚本会检测受害者的系统语言，一旦识别出目标设备归属前苏联加盟国或伊朗相关地区，便会自行终止运行。

报告解读：“若检测到设备归属以下国家（涵盖前苏联地区及伊朗），恶意程序将终止执行”，并列出对应地区代码，包括俄罗斯（RU）、乌克兰（UA）、哈萨克斯坦（KZ）及伊朗（IR）。

鉴于 EmEditor 在中外开发者与运维人员群体中广泛使用，红滴团队判定，此次事件对政企及政府机构构成高危安全风险。

报告强调：“结合后续加载的恶意载荷为信息窃取类恶意软件，综合评估可知，该事件对相关政府机关及企业机构存在大规模潜在威胁。”

安全团队被紧急建议，立即对终端开展排查，重点核查是否存在 “沃尔沙姆投资有限公司” 签名文件及 “谷歌云端硬盘缓存” 恶意浏览器扩展。