도메인 7개 인증서 발급자 하나, 정형화된 크랙 배포망

지난 2주간 확인된 이번 캠페인의 인프라를 들여다보면 눈에 띄는 것은 개별 도메인이 아니라 그 도메인들을 찍어낸 방식이다. 조사 대상 도메인 7개 가운데 5개 — cartmask.xyz, fluxautomation.cc, microlsireqjn.com, rabbitsbird.info, silversongs.info — 가 모두 Google Trust Services의 동일한 중간 CA 'WE1'로부터 인증서를 발급받았고, 그 발급 시점은 2026년 6월 6일부터 7월 7일까지 약 한 달 사이에 몰려 있다. 서로 무관해 보이는 도메인들이 같은 CA 중간체를 통해 거의 같은 주기로 인증서를 갱신하는 패턴은, 각 도메인이 독립적으로 등록·운영됐다기보다 하나의 provisioning 파이프라인에서 순차적으로 찍혀 나왔다는 것을 강하게 시사한다.