‘Tofsee’ 지문 경보 목적지, 별도 보고서선 업데이트 호스트 주소

‘Tofsee’라는 이름이 붙은 TLS 지문 경보의 목적지 IP가, 같은 파일에 대한 별도 샌드박스 보고서에서는 armmf.adobe.com의 DNS 응답 주소로 나타났다. 그 보고서에는 해당 호스트에서 MSI 파일을 요청하고 HTTP 200 응답을 받은 기록도 있다. 악성코드 계열명이 붙은 경보를 이 주소가 명령제어(C2) 서버라는 증거로 받아들여도 될까. CTX Threat Intelligence가 검토한 파일 #df83a0d69406의 기록은 다른 해석을 요구한다. TLS 클라이언트 지문 일치, 목적지 주소, HTTP 요청 내용은 각각 다른 사실을 설명한다. CTX Team의 판단은 이 경보가 조사할 통신 특성을 제시하지만, 목적지의 악성 역할까지 확정하지는 않는다는 것이다. 이 사례에서는 오히려 DNS와 요청 내용을 함께 읽을 때 경보의 의미가 더 구체적으로 좁혀진다.