지니언스 “北 해커 김수키, 로컬 AI 구축 정황…공격 자동화 연구”

지니언스(대표 이동범)는 북한 배후 해킹조직으로 알려진 김수키(Kimsuky)의 최근 공격을 분석한 결과, 생성형 인공지능(AI)을 공격에 활용하기 위해 로컬 대형언어모델(LLM)과 AI 개발 환경을 구축한 정황을 확인했다고 10일 밝혔다.

지니언스는 김수키가 기존처럼 AI를 피싱용 이미지나 미끼 제작에 활용하는 데 그치지 않고, 탈취 정보 분석과 공격 업무 자동화를 위한 기술을 시험한 것으로 분석했다.

분석 결과 공격 환경에서는 올라마(Ollama), GPT4All, 미스티(Msty) 등 로컬 LLM 실행·관리 도구와 검색증강생성(RAG) 환경을 구축하거나 사용한 흔적이 발견됐다. AI 에이전트 개발 프레임워크와 음성인식(STT) 도구를 활용한 정황도 확인됐다.

로컬 LLM은 외부 AI 서비스로 데이터를 보내지 않고 자체 컴퓨터나 내부 시스템에서 AI 모델을 구동하는 방식이다. 검색증강생성은 AI가 자체 문서나 데이터베이스에서 필요한 정보를 검색한 뒤 이를 바탕으로 답변하도록 하는 기술이다.

생성형 AI 기반 코드 편집기인 커서(Cursor)의 설치·사용 흔적도 다수 발견됐다. 지니언스는 커서를 이용해 공격에 사용한 문서를 편집하고 AI가 생성한 결과물을 검토한 것으로 보이는 기록을 확인했다. 이를 토대로 AI를 악성코드 개발이나 공격 자동화에 활용하기 위한 연구와 기술 검증이 진행된 것으로 분석했다.

다만 이번 분석에서 확인된 내용은 AI 관련 도구와 개발 환경을 구축하고 활용한 정황이다. AI가 실제 공격 전 과정을 자동으로 수행했다는 사실까지 확인된 것은 아니다.

스피어피싱 방식도 달라졌다. 김수키는 그동안 탈취한 정상 문서를 다시 활용해 표적을 속이는 방식을 사용해왔다. 최근 공격에서는 생성형 AI를 이용해 제작한 것으로 지니언스가 판단한 가상자산·금융 분야 문서가 미끼로 활용됐다.

스피어피싱은 특정 인물이나 조직을 미리 조사한 뒤 업무 관련 이메일이나 문서처럼 위장해 악성파일 실행 등을 유도하는 표적형 피싱 공격이다.

이번에 분석된 공격에서는 투자 전략 보고서와 금융 자료로 위장한 악성 문서가 사용됐다. 가상자산 지갑 정보와 지메일(Gmail) 계정 정보, 웹사이트 가입 이력 등 개인정보 노출 여부를 확인하려 한 정황도 발견됐다.

기존 공격 방식에서는 수신자가 압축파일에 포함된 문서 모양의 악성 바로가기(LNK) 파일을 실행하면 파워셸(PowerShell) 스크립트가 백그라운드에서 작동하는 수법이 주로 쓰였다. 파워셸은 윈도 운영체제에서 시스템 관리와 작업 자동화에 사용하는 도구지만 공격자가 악성코드 실행이나 정보 탈취에 악용할 수도 있다.

문종현 지니언스 시큐리티 센터장은 “이번 분석은 국가 배후 해킹조직이 AI를 실제 공격 체계에 접목하기 위해 로컬 LLM과 AI 개발 환경까지 구축하며 공격 역량을 고도화하고 있음을 보여주는 사례”라며 “AI 기술의 발전으로 사회공학 공격이 더욱 정교해질 것으로 예상되는 만큼 문서 내용보다 실행 행위를 중심으로 탐지하는 EDR 기반 위협 헌팅 체계가 중요하다”고 말했다.

지니언스는 이번 분석 결과를 한국인터넷진흥원(KISA) 위협 인텔리전스 네트워크 협의체 등 국내외 협력 체계와 공유했다고 밝혔다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network