10년 된 Cridex, 8개 C2 노드로 2026년에 재출현

포르투갈 리스본 북쪽 샤베스(Chaves) 소재 사업자 네트워크에 할당된 IP 주소 62.28.244.251이 지난 2026년 6월 18일 기준으로 여전히 활성 상태인 TLS 인증서를 제시하고 있다. 인증서의 발급자와 주체 CN은 모두 "Windows Admin Center" — Microsoft의 정품 원격 관리 도구를 그대로 흉내 낸 자가서명 인증서다. 그런데 이 인증서의 Subject Alternative Name 필드에는 내부 호스트명 HYPERV03-SRV.inforxxi.pt가 그대로 노출돼 있다. 포르투갈 어딘가의 Hyper-V 서버가 외부 명령제어(C2) 릴레이로 전용됐음을 스스로 증언하는 셈이다. 이 노드는 혼자가 아니다. CTX Team이 추적한 이번 캠페인에는 캐나다, 미국, 포르투갈, 그리고 ASN 정보조차 확인되지 않는 미상 호스팅 환경에 걸쳐 총 8개의 C2 엔드포인트가 등록돼 있다.