인증서 하나로 대륙 넘어 IP·도메인 엮은 C2 인프라

남아프리카공화국 AFRINIC 대역에 걸린 IP 168.76.155.178과 GoDaddy에 등록된 도메인 guomcc.com은 지리적으로도, 등록 경로로도 아무 접점이 없어 보인다. 그런데 이 둘은 정확히 동일한 TLS 인증서 시리얼 5ee850a60d5f88bb1442ee2acebf3310dd를 공유한다. 해당 인증서는 Let's Encrypt YR2 계열에서 발급됐고, subject는 watbw.com이지만 SAN 목록에는 .fmblzz.top, .jrzsdwn.top, .mrqxifa.top, .qjymt.top까지 함께 걸려 있다. 하나의 인증서가 IP 하나, 도메인 하나, 그리고 4개의 .top 도메인까지 동시에 커버하는 멀티테넌트 와일드카드 구조다. 이 캠페인의 진짜 서사는 특정 악성코드 패밀리나 특정 침해 사고가 아니라, 바로 이런 인프라 결합 방식에 있다.