러시아 두 ASN 넘나든 동일 인증서, 크립토재킹 로더의 발판

지난 한 주간 CTX Team이 추적한 26개 파일·5개 IP·3개 도메인으로 구성된 이 캠페인에서 가장 눈에 띄는 신호는 악성코드 자체가 아니라 그것을 실어 나르는 인프라의 재사용 패턴이다. AS29182(JSC IOT, 러시아)에 속한 두 IP — 62.109.31.142와 37.230.117.113 — 는 완전히 동일한 TLS 인증서 시리얼 7b670437a77c69583d393d4c를 공유하고 있으며, 이 인증서의 subject는 *.imageban.ru라는 와일드카드다. 이는 정상적인 러시아 이미지 호스팅 서비스를 흉내 낸 프록시 프런트가 두 대의 서버에 그대로 복제돼 있다는 뜻이고, VirusTotal의 인증서 이상 탐지 로직도 이를 wildcard_san 이상치로 별도 표시했다.