DNS·TLS 지문은 맞았지만, 악성 파일의 통신은 확인 안 돼

reihtec.com의 DNS A 레코드는 174.138.186.11을 가리켰고, 도메인과 IP에 기록된 TLS 서비스 지문인 JARM도 일치했다. kalteng.net과 45.126.43.3에서도 같은 관계가 확인됐다. 두 쌍은 단순히 같은 자료에 등장한 주소가 아니라, 이름과 서비스 특성이 함께 맞물리는 조사 단서다. 그렇다면 이 연결은 어디까지 호스트의 역할을 설명할 수 있을까. CTX Threat Intelligence 자료를 대조한 CTX Team의 판단은 구체적이다. DNS와 지문은 각 도메인을 어느 주소의 서비스와 함께 조사해야 하는지 뒷받침한다. 그러나 함께 제공된 실행 파일이 그 서비스에 통신했다는 연결은 없다. 이 사례의 핵심은 주소 사이의 관계를 확인하는 것과 악성 통신의 목적지를 입증하는 것이 서로 다른 작업이라는 데 있다. A 레코드가 도메인과 IPv4 주소의 연결을 제공한다면, JARM 일치는 양쪽에 기록된 TLS 응답 특성이 같다는 정보를 더한다.