XWorm 캠페인, 무탐지 신규 C2 노드·동적 DNS로 인프라 확장

2025년 10월 21일 RIPE NCC에 등록된 143.20.134.0/24 블록 하나가 이 캠페인의 현재 운영 방식을 압축적으로 보여준다. 해당 대역을 보유한 Freakhosting Ltd(ASN 215703)는 조직 자체가 2026년 1월 22일에야 RIPE에 등록됐다 — 블록 할당 이후 약 석 달 뒤의 일이다. 이 IP(143.20.134.59)는 분석 시점 기준 91개 엔진 가운데 단 3개만이 악성으로 분류하고 있었으며, 대부분의 네트워크 계층 차단 목록에는 아직 등재조차 되지 않은 상태였다. 여기에 ydns.eu 무료 동적 DNS 서비스를 통해 개설된 신규 호스트명 petro4prime.ydns.eu가 쌍을 이루며, 이 캠페인이 이전 보도(이전 보도)에서 확인된 다중 ASN C2 패브릭을 한 단계 더 확장하고 있음을 보여준다. CTX Team이 추적해 온 이 캠페인은 이번 분석 주기에서 세 가지 새로운 신호가 확인됐다.