DNS·TLS로 연결된 도메인과 IP, C2 통신은 미확인

dfkjgoi3.info의 DNS A 레코드는 213.108.199.215를 가리킨다. 두 대상에는 동일한 HTTPS 인증서 지문과 JARM 지문도 기록돼 있다. 도메인과 IP가 단순히 같은 목록에 실린 것이 아니라, 주소 해석 결과와 TLS 서비스 특성으로 연결된 것이다. 그렇다면 이 연결은 해당 IP가 악성코드의 명령제어(C2) 서버라는 사실까지 입증할까. CTX Threat Intelligence 자료에서 확인되는 답은 더 구체적이다. 이 IP는 도메인의 인프라를 추적할 직접적인 조사 지점이다. 그러나 도메인에 붙은 C2 분류와 달리, 파일이나 프로세스가 이곳에 접속해 명령을 교환한 기록은 제공되지 않았다. CTX Team은 이 사례의 핵심을 도메인과 서버 주소의 관계는 뒷받침되지만, 악성코드와 서버 사이의 통신 관계는 아직 연결되지 않은 상태로 평가한다. 가장 직접적인 근거는 A 레코드다. 저장된 DNS 응답에는 도메인의 주소로 해당 IP가 명시돼 있다.