Resumo da campanha
Em final de dezembro de 2025, a página oficial de download do EmEditor foi comprometida e passou a servir um instalador .MSI modificado. Ao executar o instalador trojanizado, o sistema disparava um comando PowerShell que buscava o primeiro estágio do malware em domínios que imitavam a infraestrutura legítima da ferramenta.
Arquitetura do malware e payloads
O ataque empregou um esquema em três estágios: primeiro, o instalador executa um comando PowerShell que baixa código ofuscado; segundo, esse código recupera dois payloads adicionais que estabelecem persistência, fazem fingerprinting do sistema e detectam softwares de segurança; terceiro, um componente de comunicação com C2 (command‑and‑control) gerencia instruções e exfiltra dados.
Uma das cargas desabilita o PowerShell Event Tracing em Windows para reduzir registros de segurança, enquanto outra acessa o Windows Credential Manager para extrair senhas armazenadas e captura screenshots. O componente final realiza checagens de geofencing para evitar execução em países específicos, apontando para um perfil geográfico operativo.
Evasões e indicadores
O instalador modificado continha alterações na CustomAction para executar comandos maliciosos sem alertas óbvios. Os scripts usaram manipulação de strings e técnicas de ofuscação que dificultam análise por ferramentas automatizadas. Pesquisadores notaram um identificador de campanha consistente nas comunicações, útil para rastrear sistemas comprometidos.
Impacto e recomendações
- Impacto: usuários e organizações que baixaram EmEditor durante a janela de comprometimento podem ter credenciais e dados sensíveis exfiltrados; desenvolvedores que usam o editor em ambientes de produção ou em estações com acesso a repositórios estão em risco.
- Mitigação: validar checksums oficiais antes da instalação, restringir execução de instaladores externos por políticas de endpoint, executar varreduras forenses em sistemas suspeitos e rotacionar credenciais potencialmente expostas.
- Resposta: remover artefatos maliciosos, restaurar a partir de backups confiáveis, reinstalar software a partir de fontes validadas e monitorar comunicações para IOCs compartilhados por pesquisadores.
Lacunas nas informações públicas
Relatos técnicos descrevem o mecanismo e as cargas, mas não publicam uma lista detalhada de domínios e hashes extensivamente para bloqueio amplo; as equipes devem seguir atualizações do fornecedor e de pesquisadores como Trend Micro para IOCs oficiais.
Conclusão
O incidente reforça que pontos de distribuição oficiais podem ser alvos de compromissos e que controles de integridade de instaladores, validação de assinaturas e políticas rígidas de execução são cruciais para mitigar riscos de supply‑chain para ferramentas de desenvolvimento amplamente utilizadas.