해킹 사고에 대한 조사 보고서
어제 저희는 JPCERT/코디네이션 센터로부터 최종 조사 보고서를 받았습니다.
해킹이 발생한 경위
남아 있던 여러 액세스 로그로는 해킹의 원인을 파악할 수 없었습니다. 203.194.144.#에서 의심스러운 액세스(웹 및 FTP)를 확인했고, 8월 초에 공격 시도의 흔적을 확인했습니다. 그러나 이러한 흔적만으로는 해커가 어떻게 저희 사이트에 침입했는지 파악할 수 없었습니다. 이 IP 주소에서 성공한 로그인은 없었습니다.
무단 리디렉션에 관하여
남아 있던 액세스 로그에서 다음 2건의 액세스가 해커가 배치한 .htaccess에 의해 리디렉션된 무단 액세스로 판단되었습니다.
#.#.#.# - - [18/Aug/2014:05:41:38 -0500] "GET /pub/updates/emed64_updates_ja.txt HTTP/1.1" 200 884 "-" "AdvancedInstaller"
#.#.#.# - - [18/Aug/2014:06:19:04 -0500] "GET /pub/updates/emed64_updates_ja.txt HTTP/1.1" 200 884 "-" "AdvancedInstaller"이 액세스는 .htaccess에 기록된 IP 주소 및 사고가 발생한 시간대와 일치합니다. 또한 액세스 로그에 기록된 바이트 수(884)가 다른 시간대와 다른 IP 주소의 액세스에 기록된 바이트 수와 달랐습니다.
일반적인 액세스 로그는 다음과 같습니다.
#.#.#.# - - [10/Aug/2014:03:45:09 -0500] "GET /pub/updates/emed64_updates_ja.txt HTTP/1.1" 200 855 "-" "AdvancedInstaller"이 파일의 바이트 수는 855이지만 위의 두 액세스는 바이트 수를 884바이트로 표시합니다.
위 IP 주소를 소유한 클라이언트는 JPCERT/CC로부터 연락을 받았으며 악성 코드 감염은 없었던 것으로 확인되었습니다. 액세스 로그는 실제 설치 없이 업데이트 확인만 한 경우를 포함한 모든 액세스를 기록합니다.
향후 조치
WordPress 플러그인 및 테마의 정기적인 업데이트 외에도 저희는 정기적으로 사이트의 악성 코드를 검사하고, 서버의 파일과 액세스 로그를 모니터링하며, 의심스러운 IP 주소를 차단합니다. 8월 29일에는 emeditor.com 전체 사이트를 SSL 암호화 연결로 보호했습니다. 또한 보안 강화를 위해 포럼을 다른 사이트나 전자 메일링 리스트로 이전할 계획입니다.
업데이트 검사기를 만드는 데 사용한 Advanced Installer의 다음 버전은 저희와 동일한 디지털 서명이 없는 업데이트 설치 프로그램을 차단할 수 있게 됩니다. 향후 EmEditor 버전에서는 보안이 개선된 업데이트 검사기를 복원할 예정입니다.
이 상황으로 인해 불편을 드린 점 사과드립니다.
참고 항목: