인증서 한 장으로 드러난 베트남 라이센스 서버, C2로 재활용

지난 6월 27일 관측된 위협 인텔리전스 레코드에서 눈에 띄는 것은 화려한 악성코드 패밀리명이 아니라, 등록된 지 3년 된 평범한 도메인 하나가 최근 며칠 사이 통째로 "재활성화"된 흔적이다. 베트남에 등록된 도메인 canhtrang.com과 그 하위 서브도메인들(free.canhtrang.com, lic.canhtrang.com, ping.canhtrang.com), 그리고 IP 160.25.81.136이 하나의 인증서로 직접 묶여 있다는 사실이 이번 레코드의 핵심 증거다. 160.25.81.136에 걸린 TLS 인증서의 subject_cn과 issuer_cn이 모두 "ping.canhtrang.com"으로 기재돼 있어, 이 IP는 단순한 공유 호스팅 노드가 아니라 canhtrang.com 운영자가 직접 관리하는 서버라는 점이 인증서 레벨에서 확인된다.