한 DLL의 C2 설정에 묶인 세 호스트, DNS·TLS 특성은 달랐다

한 DLL에서 추출한 설정에 호스트 이름만 다른 세 개의 HTTP 주소가 들어 있었다. 모두 80번 포트의 /8/forum.php를 가리켰고, 설정 분석 결과에서는 명령제어(C2) 접속 대상으로 분류됐다. 이 주소들은 같은 악성 파일과 연결된다는 점에서는 동등하다. 그렇다면 세 호스트도 같은 시기에 같은 방식으로 운영된 서버라고 볼 수 있을까. CTX Threat Intelligence가 검토한 자료는 그보다 구체적인 구분을 가능하게 한다. 두 도메인은 설정상의 경로뿐 아니라 기록된 네임서버와 TLS 서비스 지문도 같았다. 나머지 하나는 다른 DNS·TLS 특성을 보였고, 제공된 도메인 생성일은 파일의 최초 제출일보다 늦었다. 하나의 접속 대상 묶음 안에 들어 있다는 사실과, 같은 운영 이력을 가진 인프라라는 판단 사이에 차이가 드러나는 대목이다. 이 사례의 핵심은 세 서버에 대한 통신을 재구성하는 데 있지 않다.