XWorm 캠페인, 유럽 VPS 두 곳 동시 C2로 추가…인프라 다변화 확인

이전 보도에서 CTX Team은 스페인어 발주서 미끼를 활용한 XWorm 캠페인을 최초 보고하며 25개국에 걸친 광범위한 표적 분포와 핵심 페이로드 구조를 분석했다. 이후 꾸준히 활성 상태를 유지하던 이 캠페인에서 이번에 새로 확인된 신호는 파일 수준의 기법 변화가 아니다. 2025년 말 RIPE NCC에 신규 할당된 두 개의 독립 ASN 블록 — Omegatech LTD(ASN 202412, 세이셸 등록)와 Freakhosting Ltd(ASN 215703, 영국 등록) — 이 캠페인의 C2 노드로 동시에 등장했으며, 여기에 무료 DDNS 서비스 기반의 호스트명 jar5.ydns.eu까지 새로운 네트워크 채널로 추가됐다. 이전 활동의 연속선 위에 있지만, 운영자가 C2 인프라를 의도적으로 분산·교체하고 있다는 점에서 의미 있는 진화가 확인된다. 이번 스냅샷에서 가장 명확한 변화는 네트워크 인프라다.