등록·IP·인증서 겹친 위장 도메인, Stonefly 발판으로 드러나다

두 개의 위장 도메인이 같은 날 태어났다. tecnojournals.com과 semiconductboard.com은 2024-07-18, 정확히 같은 하루에 Gandi SAS를 통해 등록됐고, 지금도 둘 다 34.41.139.193이라는 동일한 IP로 해석된다. 권위 있는 네임서버조차 레지스트라 기본값이 아니라 ns1.hwrn.net·ns2.hwrn.net이라는 동일한 커스텀 페어를 공유하고 있다. 이 정도로 촘촘하게 겹치는 좌표는 우연히 같은 호스팅 업체를 고른 두 사이트의 흔적이라기보다, 하나의 스크립트가 한 번에 찍어낸 인프라 배치로 읽는 것이 자연스럽다. CTX Team은 이번 사건을 파일 지표 1건, 도메인 2건, 그 도메인 아래 걸린 URL 10건으로 구성된 좁지만 응집도가 매우 높은 캠페인 조각으로 분류했다. 이 조각이 흥미로운 이유는 규모가 아니라 정밀도다.