도메인 18개 신설·19개 소멸에도 서명 파이프라인은 그대로

CTX Team이 추적 중인 프록시웨어·스틸러 혼합 캠페인의 이번 관측 구간에서 눈에 띄는 것은 파일이 아니라 네트워크 계층이다. 직전 보도 시점 이후 도메인 18개와 IP 8개가 새로 편입됐고, 반대로 도메인 19개와 IP 21개가 관측 목록에서 빠졌다. 순수하게 숫자만 보면 인프라의 절반 가까이가 통째로 교체된 셈인데, 실제로 들여다보면 이번 캠페인은 완전히 새로운 국면으로 넘어간 것이 아니라 이전 활동의 연속선 위에서 호스팅 계층만 빠르게 회전시키는 패턴을 보여준다. 반면 이 인프라 위에서 유통되는 서명된 실행 파일 군집 — Bright Data Ltd 서명의 net_updater.exe 계열과 WEILAI NETWORK TECHNOLOGY 서명의 wire/jumper 계열 — 은 이번 구간에서 아무런 변화 없이 그대로 재확인됐다. 즉 이번 스냅샷이 말해주는 것은 "운영자가 도구를 바꿨다"가 아니라 "운영자가 도구는 그대로 두고 착지 지점만 계속 바꾸고 있다"는 사실이다.