9초 차이 인증서 두 장, 같은 IP로 묶인 C2 인프라

지난 6월 13일 18시 46분 20초, deluxe.gl 도메인에 Let's Encrypt 발급기관 YE1이 서명한 TLS 인증서가 발급됐다. 그리고 정확히 9초 뒤인 18시 46분 29초, geo-foundation.vg에도 같은 발급기관 계열(YE2)의 인증서가 내려왔다. 두 도메인은 톱레벨도메인부터 다르고(.gl, .vg) 등록 시점도 5일 차이(각각 2026-03-06, 2026-03-11)가 나지만, 둘 다 동일한 IP 79.124.59.146으로 해석되고 동일한 Cloudflare 네임서버 군에 위탁돼 있다. 사람이 브라우저 콘솔을 열고 인증서를 하나씩 발급받았다면 이런 시간차는 나오지 않는다. 이 정도의 정밀한 동시성은 하나의 스크립트나 자동화된 발급 파이프라인이 두 호스트네임을 한 번에 처리했다는 쪽을 훨씬 강하게 시사한다. 이 C2 인프라 클러스터는 CTX Team이 심각도 100, 신뢰도 80으로 분류해 등록한 위협 세트에서 관측됐다.