33일 만에 구축된 ServHelper C2 클러스터, TLS 인증서에서 숨겨진 도메인 노출

이전 보도 이후 CTX Team이 추적해 온 TA505의 ServHelper 캠페인에서 새로운 C2 인프라 레이어가 확인됐다. 이번에 새로 관측된 신호는 파일이 아닌 도메인과 URL에 집중돼 있다 — 단일 Namecheap 계정 아래 33일 만에 등록된 세 개의 .xyz 도메인이 동일한 Let's Encrypt R3 인증서 발급 패턴과 /seger_n/b.php라는 공통 비콘 경로를 공유하며 하나의 C2 패널로 수렴하는 구조가 드러났다. 여기에 더해, 두 개의 .xyz 도메인 TLS 인증서 SAN 필드에서 카탈로그에 등재되지 않은 .cn 도메인 teahgiaj3ig.cn이 발견되며 운영자의 실제 인프라 발자국이 공개 지표 목록보다 넓다는 사실이 확인됐다. 이전 보도에서 CTX Team은 Go-CLR 드로퍼를 통한 ServHelper 메모리 내 실행 체계와 UPX 패킹 DLL 쌍의 위장 배포 방식을 상세히 다뤘다. 이번 업데이트는 그 툴링 그림에 새로운 파일을 추가하지는 않는다.