도메인보다 먼저 발급된 인증서, DarkSide C2의 시간 역설

바로케티즈닷컴(baroquetees.com)이라는 도메인의 마지막 HTTPS 인증서 발급 시각은 2024년 11월 15일이다. 그런데 이 도메인의 WHOIS 상 생성일은 2026년 2월 19일로 기록돼 있다 — 인증서가 도메인보다 1년 넘게 먼저 태어난 셈이다. CTX Team이 이번에 확인한 캠페인에서 가장 이례적인 지점은 행위자의 이름이 아니라 바로 이 시간축의 뒤틀림이다. 해당 도메인은 Proofpoint Emerging Threats Open이 배포한 IDS 룰 'ET MALWARE Observed DarkSide Ransomware Domain (baroquetees .com in TLS SNI)'을 통해 DarkSide 랜섬웨어의 명령제어(C2) 트래픽에서 TLS SNI 값으로 직접 관측됐고, 같은 기록에 담긴 페이로드(SHA256 e51e4c37…9a84d)는 2021년 3월 31일에 처음 제출된 5년 가까이 된 빌드다.