Tor 망 DGA C2 세 주소 중 하나, 91개 벤더 전원 탐지 실패

2026년 5월 18일 처음 포착된 Gozi 뱅킹 트로이목마 캠페인(CTX 내부 식별자 CTXv7povuldk2)은 지금까지 알려진 Gozi 배포 사례 중에서도 C2 인프라 설계 측면에서 주목할 만한 특징을 드러내고 있다. 세 개의 Tor v3 히든 서비스 주소가 DGA(Domain Generation Algorithm)로 생성된 형태로 묶여 있으며, 이 클러스터의 탐지 분포는 12/91에서 1/91, 그리고 0/91로 단계적으로 낮아진다. 가장 최근에 활성화된 것으로 추정되는 세 번째 주소 swjxev2rvxfivi2wvkxre5vaxkjeepxzxva4u4ydm2qbkbakh6wnyead.onion은 2026년 5월 25일 마지막 업데이트 기록을 남긴 채 현재 91개 보안 벤더 중 단 한 곳도 탐지하지 못하고 있다.