태국 의료업체 서브도메인 뒤 숨은 C2 순환 인프라

의료 소프트웨어 업체의 정식 도메인 밑에 등록된 서브도메인 3곳이 모두 같은 IP로 수렴하고, 89일짜리 인증서를 순차적으로 갈아 끼우며 트래픽을 흘려보내고 있다. meddup.bmscloud.in.th, api.notify.bmscloud.in.th, donorcheck.bmscloud.in.th — 이 세 호스트명은 THNIC를 통해 등록됐고 모두 171.103.78.30이라는 단일 A-레코드로 해석된다. 여기에 더해 상용 호스팅 업체 A2 Hosting의 웹메일·autodiscover 명명 규칙을 그대로 베낀 인증서가 싱가포르의 한 소규모 호스팅사 IP(85.187.128.55, AS204800 WHG Hosting Services Ltd)에서 발견됐고, 등록 6년째를 맞은 중국계 도메인 xsbl.net이 최근 GoDaddy 인증서를 새로 발급받아 재부팅된 흔적도 확인됐다.