인증서 하나, IP 하나 — buffernavpose.com이 드러낸 최소주의 C2

update.buffernavpose.com과 errors.buffernavpose.com, 서로 다른 역할을 표방하는 두 서브도메인이 실제로는 완전히 동일한 자가서명 TLS 인증서를 걸치고 있다. 시리얼 넘버 6f4f244f4be4eb69928088d4a1bb2980aff1f5cf, 발급자·주체 CN이 문자 그대로 *.malware.com으로 찍혀 있고 조직명은 OpenSSL 데모 인증서의 기본값인 "Internet Widgits Pty Ltd" 그대로다. 두 호스트는 34.209.195.255라는 단일 IP로 귀결되며, 등록 기관은 Dynadot Inc, 2018년 5월 12일 생성된 동일 apex 도메인의 서브도메인일 뿐이다. 업데이트 채널과 오류 보고 채널이라는 별개의 기능처럼 보이던 두 엔드포인트가, 실제로는 인증서·IP·등록 정보라는 세 개의 축에서 완전히 겹치는 단일 백엔드였던 셈이다. 이 사례가 흥미로운 이유는 규모가 아니라 구조다.