등록일 13년 벌어진 도메인들, 인증서는 5주 안에 겹쳤다
필리핀 Zenlayer 인프라와 c2-servers 카테고리 도메인 집합을 분석한 결과, 등록 시점이 10년 넘게 차이나는 도메인들이 Google Trust Services·Let's Encrypt 발급자로부터 불과 5주 창 안에 일괄 재인증됐다. 인접한 두 IP가 동일한 자가서명 인증서를 공유하는 정황까지 더해지면서, 개별 관리자의 갱신이 아니라 하나의 프로비저닝 도구가 배후에 있다는 신호가 뚜렷해졌다.
필리핀 소재 Zenlayer 인프라의 IP 두 곳과 c2-servers 카테고리로 분류된 도메인·파일 집합을 들여다보면, 이 캠페인에서 가장 말이 되는 신호는 특정 악성코드 패밀리가 아니라 인증서 발급 타이밍에 있다. tswlmy.com은 2013년 4월 20일에 등록됐고, fxlvpaiguan.com은 2026년 7월 31일에야 등록됐다 — 등록일 격차가 13년을 넘는다. 그런데 두 도메인 모두 Google Trust Services의 WE1 발급자로부터 리프 인증서를 받은 시점은 각각 2026년 8월 20일과 8월 2일로, 불과 3주 이내에 몰려 있다. fxlvpaiguan.com·m.arnobelo.com·thewellnessgroupredmond.com·tigersmartialarts.com·tswlmy.com 다섯 도메인이 모두 이 WE1 발급자 코호트에 속해 있으며, 발급일은 2026년 7월 6일부터 8월 25일까지 약 5주 창에 몰려 있다.
회원 전용 기사
이 기사는 비공개로 분류되어 로그인한 회원만 본문과 IOC를 열람할 수 있습니다.
로그인하고 본문 보기