[중요] 후속 안내: EmEditor 설치 프로그램 다운로드 링크와 관련된 보안 사고 공지

앞서 발표한 “[중요] EmEditor 설치 프로그램 다운로드 링크와 관련된 보안 사고 공지”에 이어, 추가 조사를 통해 알게 된 내용과 이전 공지를 보완하는 추가 세부 정보를 공유합니다.

이번 사고로 심각한 우려와 불편을 드린 점 다시 한번 진심으로 사과드립니다.

1. 잠재적 영향 기간 (미국 태평양 표준시 / UTC)

이전 공지에서는 미국 태평양 표준시로 기간을 안내했습니다. 참고를 위해 협정 세계시(UTC)도 함께 기재합니다.

  • 2025년 12월 19일 18:39 – 2025년 12월 22일 12:50 (미국 태평양 표준시)
  • 2025-12-20 02:39 – 2025-12-22 20:50 (UTC)

위 기간 동안 EmEditor 웹사이트의 다운로드 경로(예: “지금 다운로드” 버튼)를 통해 설치 프로그램을 다운로드하셨다면, 저희(Emurasoft, Inc.)가 제공한 정품 설치 프로그램이 아닌 파일을 다운로드했을 가능성이 있습니다.

위 기간은 신중을 기하기 위해 의도적으로 넓게 설정한 것입니다. 실제 영향 기간은 더 짧았으며 특정 시간대로 한정되었을 수 있습니다.

2. 의심스러운 파일 정보 (확인된 차이점)

emed64_25.4.3.msi 파일에 대해 최소 두 개의 의심스러운 파일이 존재함을 확인했습니다.

또한 두 의심스러운 파일 모두 Microsoft에서 발급한 디지털 서명으로 서명되었음을 확인했습니다. 유효 기간이 매우 짧았기(단 며칠에 불과) 때문에 해당 인증서는 개발자용 발급 방식과 유사하게 발급되었을 가능성이 높다고 판단합니다.

저희는 이 사고를 Microsoft에 신고하고 의심스러운 파일을 제공하여 관련 서명의 해지를 요청했습니다. 현재 두 서명 모두 해지된 것을 확인했습니다. 그 결과 MSI를 실행하려고 하면 서명이 유효하지 않다는 경고가 표시되어 설치가 어려워집니다.

정품 파일 (공식 EmEditor 설치 프로그램)

문제 파일 #1

문제 파일 #2

3. 다운로드한 파일을 이미 삭제한 경우

다운로드한 파일(emed64_25.4.3.msi)이 아직 남아 있다면, 이전 공지에서 안내한 대로 디지털 서명 및/또는 SHA-256을 확인하여 파일을 검증할 수 있습니다.

파일을 이미 삭제했더라도 Windows는 설치 중 사용된 MSI의 복사본을 C:\Windows\Installer 아래에 다른 이름으로 보관했을 수 있습니다.

이 폴더는 숨겨져 있고 운영 체제에서 보호되므로 일반적인 파일 탐색기 탐색으로는 찾기 어려울 수 있습니다. **C:\Windows\Installer**를 직접 입력하여 폴더를 여십시오.

폴더를 연 후에는 아래 단계를 권장합니다. MSI 파일을 두 번 클릭하거나 실행하지 않도록 각별히 주의해 주십시오.

  1. 날짜순으로 정렬 (예: “수정한 날짜”)
  2. 최근 파일에 집중
  3. 대상 파일의 디지털 서명 확인 (마우스 오른쪽 버튼 클릭 → 속성 → 디지털 서명)

4. 컴퓨터가 감염되었는지 확인하는 방법

의심스러운 파일이 실행되었더라도 다음과 같은 환경에서는 감염이 반드시 발생하는 것은 아닙니다.

  • 기기가 오프라인이었음
  • VPN/프록시가 필요했음
  • 의심스러운 PowerShell 동작이 Windows 기능이나 정책에 의해 차단됨
  • PowerShell 실행이 제한됨
  • 바이러스 백신/보안 소프트웨어가 해당 활동을 차단함

그러나 다음 중 하나라도 해당한다면 감염 가능성이 매우 높아집니다.

  • C:\ProgramData\tmp_mojo.log가 존재함
  • **Google Drive Caching**이라는 이름의 예약된 작업이 존재함
  • %LOCALAPPDATA%\Google Drive Caching\에 **background.vbs**가 존재함
  • Chrome 또는 Microsoft Edge와 같은 Chromium 기반 브라우저에 **Google Drive Caching**이라는 이름의 브라우저 확장 프로그램이 존재함(Google에서 만들었다고 주장하더라도)—특히 “모든 웹사이트의 데이터를 읽고 변경”할 수 있고 클립보드에 액세스할 수 있는 경우
  • 네트워크 로그에 다음 중 하나에 대한 연결이 표시됨:
  • cachingdrive[.]com
  • emeditorde[.]com
  • emeditorgb[.]com
  • emeditorjp[.]com
  • emeditorsb[.]com

위 중 어느 것도 해당하지 않는다면 위험은 낮지만 0은 아닙니다. 공격의 일부는 메모리에서 실행되어 파일 기반 증거를 거의 또는 전혀 남기지 않을 수 있기 때문입니다.

5. 확인된 동작 (대상 도메인 등)

이전 공지에서 밝힌 대로, 의심스러운 설치 프로그램이 실행될 때 외부 도메인에서 추가 파일을 다운로드하여 실행하는 것을 확인했습니다.

이전에는 emeditorjp[.]com에 대한 액세스를 확인했지만, 이후 조사에서 **emeditorde[.]com, emeditorgb[.]com, emeditorsb[.]com**에 대한 액세스도 추가로 확인했습니다.

이 네 도메인(emeditorjp[.]com, emeditorde[.]com, emeditorgb[.]com, emeditorsb[.]com)은 어느 것도 저희(Emurasoft, Inc.)가 운영하지 않습니다.

또한 이전 공지에서 설명한 PowerShell 명령이 외부 도메인에서 파일을 다운로드하여 실행하며, 이러한 동작이 악성 코드 감염과 비밀번호와 같은 개인정보 탈취로 이어질 수 있음을 확인했습니다.

자세한 내용은 Luca Palermo 씨와 Mario Ciccarelli 씨가 작성한 조사 보고서를 참조하십시오. Palermo 씨는 보고서를 저희에게 제공하고 게시를 허락해 주셨으며, 협조해 주신 데 대해 진심으로 감사드립니다.

6. 이 사건이 “발견하기 어려웠던” 이유

기본적인 현실로서 도메인과 디지털 서명은 모두 특정 조건에서 제3자가 획득할 수 있습니다.

  • 도메인은 사용되지 않거나 갱신되지 않은 경우 저렴한 비용으로 구매할 수 있는 경우가 많습니다.
  • 코드 서명 인증서는 일반적으로 여러 인증 기관에서 획득할 수 있습니다(이번 경우 발급자는 Microsoft였습니다).
  • 문제가 발견되면 이용 가능한 주요 대응은 발급자/인증 기관에 연락하여 해지를 요청하는 것입니다.

기술적인 관점에서 MSI 설치 프로그램은 사용자 지정 작업을 통해 임의의 스크립트(PowerShell 포함)를 포함할 수 있습니다. 충분한 지식을 갖춘 공격자는 정품이며 널리 배포된 설치 프로그램과 매우 유사한 설치 프로그램에 악성 코드 로더를 삽입할 수 있습니다.

설치 프로그램이 MSI가 아닌 EXE였더라도 유사한 공격이 여전히 가능했을 것입니다.

안타깝게도 이는 소프트웨어 회사가 정품을 정교하게 모방한 악성 설치 프로그램이 생성되고 배포되는 것을 완전히 막기가 어렵다는 것을 의미합니다. 저희는 유사하게 정교한 다단계 악성 코드 설치 프로그램이 향후 다시 등장할 수 있다고 가정해야 합니다.

그럼에도 불구하고 이번 사건의 핵심 문제는 다음과 같이 요약할 수 있다고 생각합니다.

  1. 저희 웹사이트에서 사용하던 편리한 **리디렉션(다운로드 경로)**이 탐지되지 않은 채 변경되었습니다.
  2. 악성 설치 프로그램이 외부 주체에 의해 저희 웹사이트에 배치되었습니다.

이 두 가지가 함께 발생했기 때문에 고객이 당사 공식 웹사이트에서 다운로드한 후 피해를 입은 점에 대해 전적인 책임을 지며, 이를 향후 예방 조치에 반영하겠습니다.

6-1. EmEditor 웹사이트에 배치된 악성 파일

악성 설치 프로그램 emed64_25.4.3.msi 외에도 플러그인 디렉터리에서 base64.php라는 파일을 발견했습니다. base64.php를 분석한 결과, 전형적인 백도어(원격 코드 실행 / RCE)임을 확인했습니다.

또한 WordPress 테마 디렉터리 내의 footer.php에 스크립트가 추가된 것을 발견했습니다. 이 스크립트는 다음 정품 URL로 향하는 클릭을 가로채서

  • https://support.emeditor.com/ja/downloads/latest/installer/64

다음으로 리디렉션했습니다.

  • /wp-content/uploads/filebase/emeditor-core/emed64_25.4.3.msi

그 결과 홈페이지의 “지금 다운로드” 버튼을 클릭하면 악성 파일이 다운로드될 수 있었습니다.

더욱 악의적으로, 이 스크립트는 로그인하지 않은 방문자에게만 작동하도록 구성되어 관리자가 문제를 재현하고 탐지하기 어렵게 만들었습니다. 그 결과 저희가 직접 사이트를 점검할 때에도 리디렉션이 변경된 것을 즉시 알아차리지 못했습니다.

7. 원인 (현재 평가)

저희는 아직 조사 중이며 최종 결론에 도달하지 못했습니다. 그러나 아래 가능성을 고려하고 있습니다.

WordPress는 코어, 플러그인, 테마 등 여러 구성 요소로 이루어져 있으며 많은 개발자가 유지 관리합니다. 이러한 구성 요소에서는 정기적으로 취약점이 발견되며 시간이 지나면서 업데이트가 릴리스됩니다.

저희는 플러그인과 테마를 정기적으로 업데이트하지만 일부 경우에는 취약점이 장기간 패치되지 않은 채 남아 있을 수 있습니다. 공격이 그러한 취약점을 악용했을 가능성이 있습니다.

사용 중인 SFTP 계정이 표적이 되었을 가능성도 있습니다.

8. 저희의 대응 (완료 / 계획)

저희는 즉시 악성 파일 emed64_25.4.3.msi를 삭제했습니다. 또한 파일 수정 로그를 검토하여 base64[.]php의 추가와 footer[.]php의 변경을 확인했습니다. base64[.]php를 백도어로 식별한 후 사이트 전체를 검사했습니다.

그런 다음 웹사이트를 재구축하고 모든 플러그인을 재설치했으며 불필요한 플러그인을 제거했습니다. 또한 내부 컴퓨터를 검사하고 모든 WordPress 사이트 및 관련 서비스의 로그인 비밀번호를 변경했습니다. 사용 중인 여러 서비스의 로그를 검토하여 감사했습니다.

또한 “지금 다운로드”와 같은 다운로드 버튼에 리디렉션 사용을 중단하고 검증된 안전한 파일에 대한 직접 링크로 대체했습니다. 다운로드 페이지도 업데이트하여 MSI의 SHA-256을 명확히 표시하고 사용자가 디지털 서명을 확인하도록 권장하는 안내를 추가했습니다.

EmEditor 홈페이지의 다운로드 경로를 더욱 강화하기 위해 가까운 시일 내에 사이트를 WordPress 대신 사용자 지정/정적 웹사이트로 마이그레이션하는 것도 고려하고 있습니다.

9. 마무리

위에서 설명한 바와 같이 변조된 설치 프로그램은 실행될 때 매우 위험한 동작을 수행할 수 있습니다. 동시에 저희는 제3자가 정품을 모방한 악성 설치 프로그램을 생성하고 배포하는 것을 근본적으로 막을 수는 없습니다.

따라서 저희의 최우선 과제는 저희의 주요 배포 채널인 웹사이트를 통해 누구도 악성 코드를 얻을 수 없도록 하는 것입니다.

이번 사건은 또한 Xoops나 WordPress와 같은 인기 있는 CMS 플랫폼이 편리하지만 확장성 때문에 취약점에 노출될 가능성이 커질 수 있으며, 플러그인과 테마를 최신 상태로 유지하는 것만으로는 위험을 완전히 없앨 수 없다는 점을 상기시켜 주었습니다.

다행히 Emurasoft 고객 센터는 침해되지 않았으며 저희 데이터베이스는 안전하게 유지되었습니다. 누군가 저희 고객 데이터베이스에 액세스했다는 증거는 없습니다.

이번 사건에서 얻은 교훈이 다른 소프트웨어 회사에도 도움이 되기를 바라며, 간단한 보고서로 제한하지 않고 최대한 많은 세부 정보와 맥락을 포함했습니다.

우려와 불편을 드린 점 다시 한번 진심으로 사과드립니다. 특히 감염과 관련하여 피해를 입으신 분들께 사과드립니다.

EmEditor에 대한 지속적인 지원에 감사드립니다.