"알리바바" 서명 인증서, China Mobile 대역 C2로 확인

중국 이동통신망(China Mobile) IP 대역 위에서 운영되는 명령제어(C2) 인프라 한 묶음이 최근 관측됐다. 눈에 띄는 것은 이 서버들이 내세우는 TLS 인증서의 내용이다. 인증서 발급자는 GlobalSign이라는 정상 CA이지만, 인증서의 subject organization 필드에는 "Alibaba (China) Technology Co., Ltd."라는 실제 클라우드 대기업의 이름이 저장돼 있다. 동시에 이 여섯 개 IP는 VirusTotal 89개 엔진 전원에게서 탐지되지 않는 0/89를 기록하고 있어, 표면적으로는 깨끗한 호스트로 보인다. CTX Team이 이 인디케이터 세트를 들여다본 결과는, 탐지 엔진의 판정이 아니라 인증서·ASN·등록 패턴이 만들어내는 정황 증거가 이 클러스터의 정체를 드러낸다는 점이었다. 이 레코드는 위협 인텔리전스 피드에서 심각도 100, 신뢰도 80으로 분류된 c2-servers 카테고리에 등록돼 있다.