China Telecom 블록 하나에 숨은 두 얼굴의 C2 인증서

C2 서버로 태깅된 20개 IP 가운데 8개가 단 하나의 자율시스템, AS4811(China Telecom Group) 안에 몰려 있다는 사실은 이 인프라 풀을 분석할 때 가장 먼저 눈에 걸리는 지점이다. 101.91.0.0/17과 180.163.x.x 대역에 흩어진 이 여덟 개 IP는 겉보기에는 평범한 China Telecom 고객 대역처럼 보이지만, 실제로 이 블록 안에는 완전히 다른 두 종류의 TLS 위장이 섞여 있다. 101.91.111.13, 101.91.111.106, 101.91.111.109 세 개 IP는 상용 인증서 없이 기본값 그대로의 자기서명 인증서 — subject/issuer가 모두 "Kubernetes Ingress Controller Fake Certificate", SAN이 ingress.local인 — 를 그대로 노출하고 있다. 반면 나머지 다섯 개는 완전히 다른 얼굴을 하고 있다.