팔로알토 유닛42, LLM 악용 추정되는 악성코드 흔적 포착
보안 취약한 가정용 IoT 인프라 장악해 사이버 공격 네트워크 구축

[보안뉴스 김형근 기자] 사물인터넷(IoT) 기기를 노리는 미라이(Mirai) 봇넷 변종 ‘턱스봇(Tuxbot) V3’가 발견됐다. 대규모언어모델(LLM)을 활용해 코드를 작성한 흔적이 포착돼 AI 기반 악성코드 진화에 대한 우려가 커지고 있다.


▲TuxBot 대화형 설정 마법사 화면 [출처: 팔로알토네트웍스]

팔로알토네트웍스 위협 인텔리전스 연구팀 ‘유닛42’(Unit 42)는 IoT 기기를 집중적으로 노리는 턱스봇 V3 봇넷의 진화 양상을 경고했다. 이 봇넷은 DDoS 공격과 추가 악성코드 유포 등 광범위한 위협을 동반하고 있다.

턱스봇 V3는 2016년 글로벌 인터넷을 마비시켰던 미라이 봇넷의 최신 변종이다. 연구진 분석에 따르면, 이 봇넷은 주로 인터넷에 무방비로 연결된 가정용 공유기나 보안 카메라 등 보안이 취약한 IoT 기기를 목표로 삼아 네트워크에 침투한다.

가장 우려스러운 부분은 봇넷 내부에서 발견된 코드 작성 패턴에 있다. 유닛42는 소스코드 일부에서 개발자가 작성했다고 보기 힘든 비정상적 구조와 주석 처리 방식을 확인했다. 이는 해커들이 LLM을 활용해 악성코드를 자동 생성했거나 코드 구조를 최적화한 흔적으로 추정된다.

LLM이 악성코드 개발에 악용될 경우 프로그래밍 지식이 부족한 초보 해커들도 쉽게 봇넷을 구축할 수 있다. 또 코드 구조를 지속적으로 변경하는 다형성(Polymorphism) 구현이 용이해 기존 시그니처 기반 백신과 탐지 시스템을 우회할 가능성도 커진다.

봇넷 공격에 감염된 IoT 기기는 해커들의 명령을 수행하는 ‘좀비 PC’로 전락한다. 이렇게 구성된 봇넷 네트워크는 웹사이트를 마비시키는 DDoS 공격에 동원되거나 기업망으로 침투해 랜섬웨어와 데이터 탈취 악성코드를 퍼뜨리는 중간 교두보로 악용된다.

이 봇넷에서 발견된 LLM 코딩 흔적은 AI를 악용한 사이버 위협의 진화 과정을 보여준다. 해커들이 AI 프롬프트만으로 수십개의 변종 악성코드를 생성해 유포할 수 있다. 보안 프로그램 설치가 불가능한 IoT 기기 특성상 이러한 자동화된 위협은 공급망 공격으로 언제든 확대될 수 있다.

유닛42는 보고서에서 “현재 봇넷 공격은 IoT 인프라를 빠르게 장악하며 확산 중”이라며 “기업을 비롯해 일반 사용자들도 IoT 인프라 기본 비밀번호를 변경하고, 최신 펌웨어 업데이트를 진행하는 등 기본적인 접근 통제 수준을 높여야 한다”고 밝혔다.

[김형근 기자(editor@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>