AI로 해킹 미끼 만들던 北 해커, 이젠 공격 자동화 노린다
지니언스, 김수키 공격 활동 분석
LLM 통한 해킹 자동화 정황 포착
[파이낸셜뉴스] 북한 해킹 조직으로 알려진 '김수키'가 생성형 인공지능(AI)을 해킹 전반에 활용하기 위한 기술 역량을 키우고 있는 것으로 나타났다. 단순한 피싱 미끼 제작을 넘어 로컬 대형언어모델(LLM)과 검색증강생성(RAG) 환경을 직접 만들고 공격 자동화를 시도하려는 정황도 포착됐다.
지니언스는 김수키가 AI를 공격 체계 전반에 활용하기 위해 연구와 기술 검증을 진행해 온 정황을 확인했다고 10일 밝혔다.
기존 북한 해킹 조직의 AI 활용은 주로 이미지와 음성 위조, 피싱용 미끼 제작 등 공격 준비 단계에 집중돼 있었다.
하지만 이번 분석에서는 위협 행위자가 직접 LLM 실행 환경과 RAG 환경을 구축하고 AI 기반 개발 환경을 운영한 흔적이 확인됐다. 외부 서비스로 데이터를 전송하지 않고도 운용할 수 있는 로컬 LLM을 활용해 탈취 문서를 분석하거나, 정보 추출과 공격 업무를 자동화하려는 시도로 보인다.
구체적으로는 올라마(Ollama), GPT4All, 엠스티(Msty) 등 로컬 LLM 실행 및 관리 도구와 RAG 구성 환경, AI 에이전트 개발 프레임워크, 음성인식(STT) 도구 등을 구축하거나 활용한 정황이 확인됐다. 또 AI 코딩 도구인 커서(Cursor) 설치 및 사용 흔적도 다수 식별됐다. 커서를 이용해 공격에 활용된 문서를 편집하고, 생성 결과물을 검토한 것으로 보이는 기록도 확인됐다. 지니언스는 AI를 악성코드 개발과 공격 자동화에 활용하기 위한 연구와 기술 검증이 진행되고 있음을 시사하는 사례라고 설명했다.
공격 기법도 정교해졌다. 기존에는 탈취한 정상 문서를 재활용하는 사례가 많았지만 최근에는 생성형 AI를 활용해 제작한 것으로 판단되는 가상자산과 금융 분야 문서를 스피어피싱 미끼로 활용하고 있었다.
공격은 주로 가상자산 분야에 집중됐다. 투자 전략 보고서와 금융 자료를 위장한 악성 문서가 지속적으로 유포됐다. 분석 과정에서는 가상자산 지갑 정보와 지메일 계정 정보, 웹사이트 가입 이력 등 개인정보의 노출 여부를 확인하려는 정황도 함께 식별됐다.
지니언스 시큐리티 센터장 문종현 이사는 "AI 기술의 발전으로 사회공학 공격이 더욱 정교해질 것으로 예상된다"며 "문서 내용보다 실행 행위를 중심으로 탐지하는 엔드포인트 탐지 및 대응(EDR) 기반 위협 헌팅 체계가 중요하다"고 말했다.
[email protected] 최혜림 기자
