[AI프리즘] 북한 김수키, 로컬 LLM까지 구축…AI로 공격 자동화

불편하시다면 뒤로 가기를 눌러주세요

생성형 AI 활용 피싱 넘어 정보 추출·공격 자동화로 확장

가상자산·금융 문서 정교하게 위장…계정·지갑 정보 노려

(서울=연합뉴스) 권하영 기자 = 북한 해킹조직 김수키(Kimsuky)가 생성형 인공지능(AI)을 피싱 미끼 제작을 넘어 정보 추출과 공격 자동화에 활용하기 위해 독자적인 로컬 대규모언어모델(LLM) 환경까지 구축한 정황이 포착됐다.

특히 생성형 AI로 실제 업무 문서처럼 정교하게 만든 가상자산·금융 분야 자료를 스피어피싱에 활용하는 등 AI를 공격 전반에 접목하며 사이버 공격 역량을 고도화하고 있다는 분석이 나온다.

◇ 로컬 LLM·AI 에이전트 환경 구축…공격 자동화 역량 강화

사이버 보안 전문기업 지니언스[263860]는 10일 북한 정찰정보총국 산하 해킹조직 김수키의 최신 공격 활동 분석 결과를 이 같이 공개했다.

기존에 확인된 북한 해킹조직의 AI 활용은 이미지·음성 위조나 피싱 미끼 제작 등 공격 준비 단계에 집중돼 있었다.

그러나 이번 분석에서는 위협 행위자가 외부 AI 서비스에 데이터를 넘기지 않고도 독자 운용이 가능한 로컬 LLM 실행 환경과 검색증강생성(RAG) 환경을 직접 꾸린 흔적이 포착됐다.

구체적으로는 Ollama, GPT4All, Msty 등 로컬 LLM 실행·관리 도구와 AI 에이전트 개발 프레임워크, 음성인식(STT) 도구 등의 구축·활용 정황이 확인됐다.

AI 기반 코드 편집기()Cursor)의 설치·사용 흔적도 다수 발견됐으며, 이를 통해 공격에 쓰인 문서를 편집하고 생성 결과물을 검토한 것으로 추정되는 기록도 식별됐다.

지니언스는 이를 탈취 문서 분석이나 정보 추출, 공격 업무 자동화를 위한 시도로 해석했다. AI를 악성코드 개발과 공격 자동화에 활용하기 위한 연구·기술 검증이 실제로 이뤄지고 있음을 보여주는 사례라는 설명이다.

◇ AI로 정교해진 스피어피싱…가상자산·금융 분야 집중 공략

공격 기법도 한 단계 고도화됐다. 이전에는 탈취한 정상 문서를 재활용하는 방식이 주류였으나, 최근에는 생성형 AI로 제작된 것으로 판단되는 가상자산·금융 분야 문서를 스피어피싱 미끼로 활용하는 수법이 확인됐다.

자연스러운 문체와 실제 업무 문서에 버금가는 완성도로 사용자의 신뢰를 끌어올린 뒤 악성 파일 실행을 유도하는 방식이다.

가상자산 분야가 주요 타깃으로 떠올랐다는 점도 주목된다. 투자 전략 보고서와 금융 자료로 위장한 악성 문서가 지속적으로 뿌려졌으며, 가상자산 지갑 정보와 G메일 계정 정보, 웹사이트 가입 이력 등 개인정보 노출 여부를 확인하려는 정황도 함께 포착됐다.

문종현 지니언스 시큐리티 센터장은 "이번 분석은 국가 배후 해킹조직이 AI를 실제 공격 체계에 접목하기 위해 로컬 LLM과 AI 개발 환경까지 구축하며 공격 역량을 고도화하고 있음을 보여주는 사례"라고 설명했다.

이어 "AI 기술의 발전으로 사회공학 공격이 더욱 정교해질 것으로 예상되는 만큼 문서 내용보다 실행 행위를 중심으로 탐지하는 EDR 기반 위협 헌팅 체계가 무엇보다 중요하다"고 강조했다.

지니언스 시큐리티 센터(GSC)는 이번 분석 결과를 한국인터넷진흥원(KISA) 위협 인텔리전스 네트워크 협의체를 비롯한 국내외 협력 기관과 긴밀히 공유하고 있다.

kwonhy@yna.co.kr

인기상품 확인하고 계속 읽어보세요!

5

원치 않을 경우 뒤로가기를 눌러주세요.