외부 AI 서비스 차단 회피 위해 로컬 환경에 LLM 직접 세팅
가상자산·금융 분야 타깃으로 실제 업무 문서 수준의 스피어피싱 유포

[보안뉴스 조재호 기자] 북한 배후 해커 그룹 ‘김수키’(Kimsuky)가 AI를 활용한 사이버 공격 역량을 지속적으로 진화시키며 악성코드 개발과 공격 자동화 과정 전반에 적용하는 것으로 나타났다.

지니언스는(대표 이동범)는 북한 정찰총국 산하 해킹조직 ‘김수키’(Kimsuky)의 깃허브(GitHub) 기반 공격 활동을 추적한 위협 인텔리전스 보고서를 10일 공개했다.


▲AI 활용 공격 흐름도 [출처: 지니언스]

‘오퍼레이션 깃파워’(Operation GitPower)로 명명된 이번 캠페인은 생성형 AI 기반 도구를 미끼 문서 제작부터 로컬 대형언어모델(LLM) 환경 구축까지 전방위적으로 악용한 정황이 포착되어 사이버 안보의 중대한 위협으로 떠오르고 있다

그간 김수키는 외교·안보 전문가를 타깃으로 실제 업무 관련자를 사칭한 스피어피싱 이메일을 발송해 왔다. 수신자가 이메일에 첨부된 ZIP 압축파일 내 문서 모양의 악성 LNK 파일을 실행하면 백그라운드에서 파워셸(PowerShell) 스크립트가 동작하는 방식이 대표적이다.

기존 북한 해킹조직의 AI 활용은 이미지 및 음성 위조나 피싱용 미끼 제작 등 공격 준비 단계에 국한된 것으로 분석됐다. 그러나 이번 분석에 따르면, 위협 행위자가 외부 서비스로 데이터를 전송하지 않는 로컬 대형언어모델(LLM) 실행 환경과 검색증강생성(RAG) 환경을 직접 구축해 공격 업무를 자동화하려는 시도가 새롭게 포착됐다.

지니언스에 따르면, 김수키가 Ollama, GPT4All, Msty 등 로컬 LLM 실행 및 관리 도구와 음성인식(STT) 도구를 구축한 정황이 식별됐다. 생성형 AI 기반 코드 편집기 커서(Cursor)를 설치해 악성 문서를 편집하고 생성 결과물을 검토한 기록도 다수 확인됐다. 이는 공격자가 AI를 악성코드 개발과 공격 자동화에 활용하기 위한 연구와 기술 검증을 진행 중임을 시사하는 대목이다.

공격 기법의 완성도 역시 한층 정교해진 것으로 조사됐다. 이들은 가상자산과 금융 분야를 주요 표적으로 삼아 투자 전략 보고서 등을 위장한 악성 문서를 지속적으로 유포하고 있다. 생성형 AI를 활용해 자연스러운 문체와 높은 완성도를 구현함으로써 사용자의 신뢰를 유도하고, 가상자산 지갑 정보나 Gmail 계정 정보 등 개인정보 노출 여부를 점검하려는 정황도 함께 발견됐다.

위협 귀속 분석에서는 북한 특유의 언어적 습관이 결정적 단서로 작용했다. 영문 키보드 입력 로그를 두벌식 한글 자판으로 복원한 결과 ‘싸이트’, ‘리력’, ‘로출되였는지’ 등 북한식 어휘가 다수 식별됐다. 이들은 구글 번역과 챗GPT를 거쳐 영문 프롬프트로 변환하는 과정을 거쳤으며 2023년 북한 연계 조직 APT37이 사용했던 LNK 생성 도구를 활용한 흔적도 함께 발견되어 공격 배후가 규명됐다.

문종현 지니언스 시큐리티 센터장은 “국가 배후 해킹조직이 AI를 실제 공격 체계에 접목하기 위해 로컬 LLM과 AI 개발 환경까지 구축하며 공격 역량을 고도화하고 있다”며 “문서 내용보다 실행 행위를 중심으로 탐지하는 EDR 기반 위협 헌팅 체계가 무엇보다 중요하다”고 강조했다.

지니언스 시큐리티 센터(GSC)는 이번 분석 결과를 한국인터넷진흥원(KISA) 위협 인텔리전스 네트워크 협의체 등과 긴밀히 공유하고 있으며, 지니언스 홈페이지에서 보고서 전문을 확인할 수 있다.



[조재호 기자(zephyr@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>