APT15 연계 추정, 태국 의료업체 DNS 존 위장 서브도메인 포착

이번에 확인된 인프라 세트에서 가장 응집력이 높은 신호는 파일이 아니라 도메인 계층에서 나왔다. meddup.bmscloud.in.th, api.notify.bmscloud.in.th, donorcheck.bmscloud.in.th, moph-phr.bmscloud.in.th 네 개의 서브도메인은 모두 THNIC에 등록된 bmscloud.in.th 존 아래 걸려 있으며, 이 부모 도메인의 WHOIS 등록자는 실존하는 태국 의료 소프트웨어 업체인 Bangkok Medical Software Co., Ltd.로 확인된다. 네 개 서브도메인 중 세 개 — meddup, api.notify, donorcheck — 는 동일한 A-레코드 171.103.78.30으로 해석되며, 이는 서로 다른 시점에 발급된 서로 다른 인증서를 쓰는 호스트네임들이 실제로는 하나의 서버 노드 위에 얹혀 있다는 뜻이다.