메일 호스트 이름, 과거 HTTPS 인증서에서도 확인

lru.li의 메일 수신 서버 목록에 있는 turing.lru.li가 IP 주소 49.12.115.177에서 관찰된 HTTPS 인증서에도 등장한다. DNS와 인증서에 같은 호스트명이 기록된 것이다. 이 일치는 해당 IP의 역할을 좁혀 주지만, 메일 서버를 찾은 것과 악성 메일의 발신지를 확인한 것은 다르다. 함께 검토된 웜 계열 의심 실행파일까지 이 관계에 연결할 수 있을까. CTX Threat Intelligence 자료에서 확인되는 연결은 호스트명 수준이다. lru.li의 MX 레코드는 turing.lru.li를 메일 수신 대상으로 지정하며, 해당 IP의 과거 인증서는 같은 이름을 담고 있다. CTX Team은 이를 메일 호스트의 인프라를 추적할 구체적인 단서로 평가한다. 다만 실행파일이 이 호스트를 사용했다는 설정이나 통신 기록은 제공되지 않았다. MX 레코드는 도메인 앞으로 오는 메일을 어느 호스트로 전달하도록 설정했는지 보여 준다.