45일 만에 완성된 15개 도메인 C2망, 자격증명 탈취 기능까지 추가

2026년 4월 12일부터 5월 25일까지, 불과 45일 사이에 5개의 서로 다른 인증기관이 발급한 TLS 인증서로 묶인 15개 도메인과 9개 IP가 단일 캠페인의 명령제어 인프라로 조립됐다. CTX Team이 추적해 온 Trojan.Jumper 캠페인은 이전 보도 이후 단순한 규모 확장을 넘어 구조적 변화를 드러내고 있다 — 기존의 VPN 위장 드로퍼 체계에 자격증명 탈취 기능이 새로 추가됐고, 인프라는 Cloudflare anycast 프론팅, Alibaba DNS 기반 대량 도메인 프로비저닝, 네덜란드 Webzilla 릴레이 노드를 아우르는 다층 구조로 진화했다. 이 캠페인이 정부 부문을 표적으로 삼는다는 점에서, 이번 인프라 확장의 의미는 단순한 운영 유지보수와는 거리가 멀다. --- 이번 업데이트에서 가장 먼저 눈에 띄는 것은 페이로드 서명 전략의 이중성이다.