我們再次對本事件所造成的重大疑慮與不便，致上最誠摯的歉意。

1. 可能受影響的時間區間（美國太平洋時間 / UTC）

在先前公告中，我們以美國太平洋時間提供時間範圍。為便於參考，以下同時列出協調世界時間（UTC）。

• 2025 年 12 月 19 日 18:39 – 2025 年 12 月 22 日 12:50（美國太平洋時間）
• 2025-12-20 02:39 – 2025-12-22 20:50（UTC）

若您在上述期間透過 EmEditor 網站的下載路徑（例如首頁的「Download Now」按鈕）下載安裝程式，則有可能下載到的檔案不是我們（Emurasoft, Inc.）提供的正版安裝程式。

請注意：出於審慎考量，上述時間區間刻意取較寬範圍。實際受影響的窗口可能更短，且可能僅限於特定時間點。

2. 關於可疑檔案（已確認差異）

針對檔案 emed64_25.4.3.msi，我們已確認至少存在 兩個可疑檔案。

我們也確認兩個可疑檔案皆帶有 Microsoft 核發的數位簽章。由於其有效期間極短（僅數天），我們推測其憑證可能以類似面向開發者的方式核發。

我們已向 Microsoft 回報此事件、提供可疑檔案，並要求撤銷相關簽章。目前已確認 兩個簽章皆已被撤銷。因此，嘗試執行該 MSI 時應會顯示簽章無效的警告，使安裝變得困難。

正版檔案（EmEditor 官方安裝程式）

• 檔名：emed64_25.4.3.msi
• 大小：80,376,832 bytes
• 數位簽章 — Subject：Emurasoft, Inc.
• 數位簽章 — Issuer：Sectigo Public Code Signing CA R36
• 數位簽章 — 有效期間：2023 年 4 月 9 日至 2026 年 4 月 9 日
• SHA-256： e5f9c1e9b586b59712cefa834b67f829ccbed183c6855040e6d42f0c0c3fcb3e
• VirusTotal：https://www.virustotal.com/gui/file/e5f9c1e9b586b59712cefa834b67f829ccbed183c6855040e6d42f0c0c3fcb3e
• 官方散佈來源：https://download.emeditor.info/emed64_25.4.3.msi

問題檔案 #1

• 檔名：emed64_25.4.3.msi
• 大小：80,380,416 bytes
• 數位簽章 — Subject：WALSHAM INVESTMENTS LIMITED
• 數位簽章 — Issuer：Microsoft ID Verified CS EOC CA 02
• 數位簽章 — 有效期間：2025 年 12 月 21 日至 2025 年 12 月 24 日
• SHA-256： 4bea333d3d2f2a32018cd6afe742c3b25bfcc6bfe8963179dad3940305b13c98
• VirusTotal：https://www.virustotal.com/gui/file/4bea333d3d2f2a32018cd6afe742c3b25bfcc6bfe8963179dad3940305b13c98

問題檔案 #2

• 檔名：emed64_25.4.3.msi
• 大小：80,380,416 bytes
• 數位簽章 — Subject：WALSHAM INVESTMENTS LIMITED
• 數位簽章 — Issuer：Microsoft ID Verified CS EOC CA 01
• 數位簽章 — 有效期間：2025 年 12 月 20 日至 2025 年 12 月 23 日
• SHA-256： 3d1763b037e66bbde222125a21b23fc24abd76ebab40589748ac69e2f37c27fc
• VirusTotal：https://www.virustotal.com/gui/file/3d1763b037e66bbde222125a21b23fc24abd76ebab40589748ac69e2f37c27fc

3. 若您已刪除下載的檔案

若您仍保留下載的檔案（emed64_25.4.3.msi），可以（如先前公告）透過檢查 數位簽章與／或 SHA-256 來驗證。

即使您已刪除該檔案，Windows 仍可能在安裝時將 MSI 複本保留於 C:\Windows\Installer，並以不同名稱儲存。

由於此資料夾同時為隱藏且受作業系統保護，一般在檔案總管中不易透過瀏覽找到。請直接在路徑列輸入並開啟：C:\Windows\Installer。

開啟後，建議依照以下步驟進行。請務必小心，不要雙擊或執行任何 MSI 檔案。

1. 依日期排序（例如「修改日期」）
2. 聚焦於近期檔案
3. 檢查目標檔案的數位簽章（右鍵 → 內容 → 數位簽章）

4. 如何檢查您的電腦是否可能已受感染

即使可疑檔案曾被執行，在下列環境中也不一定會感染，例如：

• 裝置處於離線狀態
• 需要 VPN／Proxy 才能連線
• Windows 功能或政策阻擋了可疑的 PowerShell 行為
• PowerShell 執行被限制
• 防毒／資安軟體封鎖了相關活動

然而，若以下任一項成立，感染的可能性將非常高：

• 存在 C:\ProgramData\tmp_mojo.log
• 存在名為 Google Drive Caching 的排程工作
• %LOCALAPPDATA%\Google Drive Caching\ 中存在 background.vbs
• 在 Chrome 或 Microsoft Edge 等 Chromium 系瀏覽器中存在名為 Google Drive Caching 的擴充功能（即使顯示為 Google 製作也一樣）——尤其是其可「讀取並變更所有網站上的資料」且具備剪貼簿存取權限者
• 網路紀錄顯示連線至下列任一網域：
• cachingdrive.com
• emeditorde.com
• emeditorgb.com
• emeditorjp.com
• emeditorsb.com

若以上皆不符合，風險較低——但並非為零——因為攻擊部分流程可能在記憶體中執行，且幾乎不留下檔案型證據。

5. 已確認的行為（目的網域等）

如先前公告所述，我們已確認可疑安裝程式在執行後會 從外部網域下載其他檔案並加以執行。

我們先前確認其曾連線至 emeditorjp.com，而後續調查也發現另外連線至 emeditorde.com、emeditorgb.com、emeditorsb.com。

上述四個網域（emeditorjp.com、emeditorde.com、emeditorgb.com、emeditorsb.com）皆非由我們（Emurasoft, Inc.）營運。

我們也確認先前公告中所描述的 PowerShell 指令會從外部網域下載並執行檔案，而此行為可能導致惡意程式感染，以及密碼等個人資訊遭竊。

更多細節請參考由 Luca Palermo 先生與 Mario Ciccarelli 先生撰寫的研究報告。Palermo 先生已將報告提供給我們並允許我們公開，我們在此對其合作表達由衷感謝。

• [惡意程式分析報告 – 多階段資訊竊取程式（Luca Palermo 與 Mario Ciccarelli）]()

6. 為何「不容易察覺」

基本現實是，在特定條件下，第三方可以取得網域名稱與數位簽章。

• 網域若未被使用或未續約，往往可用低成本購得。
• 程式碼簽章憑證一般可向多家憑證機構申請（本案的發證者為 Microsoft）。
• 一旦發現問題，主要能採取的回應是聯絡發證者／憑證機構，請求撤銷。

從技術角度而言，MSI 安裝程式可透過自訂動作（custom actions）包含任意腳本（包含 PowerShell）。若攻擊者具備足夠知識，就能將惡意載入器注入到一個外觀與正版、且廣泛散佈的安裝程式極為相似的檔案中。

即使安裝程式不是 MSI 而是 EXE，也仍可能出現類似攻擊。

遺憾的是，這代表軟體公司很難徹底防止第三方製作並散佈高度仿冒正版的惡意安裝程式。我們必須假設未來仍可能再次出現同等精密、採多階段手法的惡意安裝程式。

即便如此，我們認為本次事件的核心問題可歸納如下：

1. 我們網站上使用的便利性 重新導向（下載路徑） 在未被察覺下遭到更改。
2. 外部人士在我們網站上放置了 惡意安裝程式。

由於兩者同時發生，導致客戶在從我們官方網站下載後受到傷害，我們對此承擔全部責任，並會在未來的預防措施中反省與改善。

6-1. 被放置於 EmEditor 網站的惡意檔案

除惡意安裝程式 emed64_25.4.3.msi 外，我們還在外掛（plugin）目錄下發現名為 base64.php 的檔案。分析後判定其為典型後門程式（遠端程式碼執行／RCE）。

我們也發現 WordPress 佈景主題目錄中的 footer.php 被加入一段腳本。該腳本會劫持原本應導向至合法 URL 的點擊：

• https://support.emeditor.com/ja/downloads/latest/installer/64

並重新導向至：

• https://www.emeditor.com/wp-content/uploads/filebase/emeditor-core/emed64_25.4.3.msi

因此，點擊首頁「Download Now」按鈕可能會下載到惡意檔案。

更惡意的是，該腳本被設定為只對未登入的訪客觸發，使管理員難以重現與察覺。結果即使我們自行檢查網站，也未能立即注意到重新導向已被更改。

7. 原因（目前評估）

我們仍在調查中，尚未得出最終結論。但目前考慮以下可能性：

WordPress 由多個元件組成——核心、外掛、佈景主題等——由許多開發者維護。這些元件會定期被發現漏洞，並隨時間釋出更新。

我們會定期更新外掛與佈景主題，但在某些情況下，漏洞可能長期未被修補。攻擊也可能正是利用了此類漏洞。

另外，也不排除使用中的 SFTP 帳號遭到鎖定為攻擊目標。

8. 我們的應對措施（已完成／規劃中）

我們已立即刪除惡意檔案 emed64_25.4.3.msi。同時檢視檔案修改紀錄，確認 base64.php 被新增且 footer.php 遭變更。在辨識 base64.php 為後門後，我們對整個網站進行掃描。

接著我們重建網站、重新安裝所有外掛並移除不必要的外掛。我們也掃描內部電腦，並更改所有 WordPress 站點與相關服務的登入密碼；同時透過檢視紀錄審核我們使用的多項服務。

此外，我們已停止對「Download Now」等下載按鈕使用重新導向，改為 直接連結至經驗證的安全檔案。我們亦更新下載頁面，清楚標示 MSI 的 SHA-256，並加入說明鼓勵使用者 驗證數位簽章。

為進一步強化 EmEditor 首頁的下載路徑，我們也正在考慮於近期將網站 由 WordPress 遷移至自製／靜態網站。

9. 結語

如上所述，被竄改的安裝程式一旦執行，可能進行極其危險的行為。同時，我們也無法從根本上阻止第三方製作並散佈仿冒正版的惡意安裝程式。

因此，我們的首要任務是確保不會有人透過我們的網站取得惡意程式，因為網站是我們最主要的發佈管道。

本次事件也提醒我們：雖然 Xoops、WordPress 等常見 CMS 平台很便利，但其可擴充性也會增加暴露於漏洞的風險——而僅僅維持外掛與佈景主題更新，並不能完全消除風險。

值得慶幸的是，Emurasoft Customer Center 並未遭入侵，我們的資料庫仍維持安全；目前也沒有任何證據顯示有人存取我們的客戶資料庫。

為期盼本次事件的經驗能協助其他軟體公司，我們在本公告中盡可能納入更多細節與脈絡，而非僅發布簡短報告。

我們再次對本事件造成的疑慮與不便致上誠摯歉意，並特別向因感染而受到損害的使用者致歉。

感謝您持續支持 EmEditor。

我們非常遺憾地通知您：我們已確認 EmEditor 官方網站的下載路徑（[Download Now] 按鈕）發生了一起事件，疑似遭到第三方未授權篡改。在受影響期間，通過該按鈕下載的安裝程式可能並非我們（Emurasoft, Inc.）提供的正版檔案。

對此可能造成的擔憂與不便，我們深表歉意。請閱讀以下信息。

1. 可能受影響的期間

• 2025 年 12 月 19 日 18:39 – 2025 年 12 月 22 日 12:50（美國太平洋時間）

如果您在上述期間通過 EmEditor 首頁的 [Download Now] 按鈕下載安裝程式，則有可能下載到了一個沒有我們數位簽章的不同檔案。這是保守估計；實際受影響時間可能更短，並且可能僅限於某一特定時間段。

2. 事件概要（深層原因）

[Download Now] 按鈕正常情況下指向以下 URL：

• https://support.emeditor.com/en/downloads/latest/installer/64

該 URL 使用了重定向。然而在受影響期間，重定向設定疑似被第三方變更，導致下載被從以下（錯誤）URL 提供：

• https://www.emeditor.com/wp-content/uploads/filebase/emeditor-core/emed64_25.4.3.msi

該檔案並非由 Emurasoft, Inc. 建立，並且已被移除。

因此我們確認，下載到的檔案數位簽章可能不是我們，而是來自另一家名為 WALSHAM INVESTMENTS LIMITED 的組織。

註：此問題可能不限於英文頁面，也可能影響其他語言的類似 URL（包括日文）。

3. 已確認可能受影響的檔案

目前唯一確認涉及的檔案為：

• emed64_25.4.3.msi

正版檔案（官方）

• 檔案名：emed64_25.4.3.msi
• 大小：80,376,832 位元組
• 數位簽章：Emurasoft, Inc.
• SHA-256：e5f9c1e9b586b59712cefa834b67f829ccbed183c6855040e6d42f0c0c3fcb3e

可疑檔案（可能被篡改）

• 檔案名：emed64_25.4.3.msi
• 大小：80,380,416 位元組
• 數位簽章：WALSHAM INVESTMENTS LIMITED

4. 不受影響的情況

如果符合以下任一情況，則您不受影響：

• 通過 EmEditor 的 更新檢查器（Update Checker） 或自動更新進行更新
• 直接從 download.emeditor.info 下載
  範例：https://download.emeditor.info/emed64_25.4.3.msi
• 下載的不是 emed64_25.4.3.msi 檔案
• 使用了 可攜式版（portable version）
• 使用了 市集應用版本（store app version）
• 使用 winget 安裝/更新
• 下載了檔案但沒有運行/執行

5. 如何檢查以及應采取的措施

如果您可能在受影響期間通過 [Download Now] 下載了安裝程式，請驗證 emed64_25.4.3.msi 檔案的數位簽章與 SHA-256 哈希。

5-1. 如何檢查數位簽章（Windows）

1. 右鍵點擊檔案（emed64_25.4.3.msi），選擇 屬性（Properties）。
2. 打開 數位簽章（Digital Signatures） 索引標籤。
3. 確認簽名者為 Emurasoft, Inc.

• 若顯示 WALSHAM INVESTMENTS LIMITED，則該檔案可能為惡意檔案。

如果未顯示「數位簽章」索引標籤，可能表示該檔案未簽名或簽名無法識別。此時請勿運行該檔案；刪除並按下方指引處理。

5-2. 如何檢查 SHA-256（Windows / PowerShell）

打開 PowerShell 並執行：

Get-FileHash .\emed64_25.4.3.msi -Algorithm SHA256

確認匯出的 SHA-256 與下列一致：

• 正版 SHA-256：
  e5f9c1e9b586b59712cefa834b67f829ccbed183c6855040e6d42f0c0c3fcb3e

如果簽名或 SHA-256 不符合（建議措施）

如果數位簽章不是 Emurasoft, Inc.（例如為 WALSHAM INVESTMENTS LIMITED）或 SHA-256 不符合，則您可能獲取了被篡改的檔案（可能包含惡意軟體）。

• 立即將受影響電腦斷開網絡串連（有線/無線）
• 對系統執行一次完整的惡意軟體掃描
• 視情況考慮重新整理/重建包括操作系統在內的環境
• 考慮憑據可能泄露：對該裝置上使用/儲存過的賬號變更密碼（並盡可能啟用 MFA 多因素認證）

如果您在組織內使用 EmEditor，也建議聯繫內部安全團隊（如 CSIRT），並盡可能保留相關日志。

6. 已觀察到的行為（截至目前確認）

這個可疑安裝程式可能會嘗試執行一個 PowerShell 腳本，該腳本會從 emeditorjp[.]com 下載並執行內容。
emeditorjp[.]com 並非 Emurasoft, Inc. 管理的域名。

另請註意：該安裝程式可能仍會正常安裝 EmEditor 並安裝正版的 EmEditor 程式檔案，這會使問題更難被察覺。

7. 目前的狀態與後續更新

我們將繼續調查事實並確定影響範圍。一旦有更多信息，我們會在本頁面和/或通過官方渠道盡快更新。
我們高度重視此次事件，並將采取必要措施查明原因、避免再次發生。

對於此次事件可能造成的不便與擔憂，我們再次致以誠摯歉意，並感謝您對 EmEditor 的理解與持續支持。