네 도메인 한 네임서버… 브라질 IP서 정체 드러나다

zelpx.garden, carogra.biz, tzpx.courses, fightwa.biz — 서로 다른 시기에 등록된 이 네 개 도메인은 모두 동일한 네임서버 쌍, ns1.dyna-ns.net과 ns2.dyna-ns.net을 가리킨다. 게다가 fightwa.biz와 브라질에 위치한 IP 148.230.76.66은 완전히 동일한 TLS 인증서 일련번호(58a18d190d7e77351d4c58d9a5bf75ba598)를 공유하고 있어, 이 IP가 해당 도메인의 실제 운영 서버라는 점이 인증서 수준에서 확인된다. 파일 목록에는 APT28이라는 익숙한 이름이 붙어 있지만, 정작 이 인디케이터 집합에서 가장 견고하게 재구성되는 것은 행위자의 서명이 아니라 도메인·IP·인증서가 서로를 지목하는 인프라 지문 쪽이다. 이번 분석은 그 지문을 따라가며, 동시에 같은 카탈로그에 묶여 있는 파일 뭉치가 실제로는 이 인프라와 무관한 별개의 수집 활동일 가능성까지 짚어본다.