지니언스, 北 김수키 AI 공격 활동 분석…로컬 LLM까지 구축해 사이버 공격 고도화

지니언스 (263860)는 북한 정찰정보총국 산하 해킹조직으로 알려진 김수키(Kimsuky)의 최근 공격 활동을 분석한 결과, 생성형 인공지능(AI)을 공격 전반에 활용하기 위한 기술을 연구하고 실제 공격 역량을 높여온 정황을 확인했다고 10일 밝혔다.

지니언스 시큐리티 센터(GSC)의 분석에 따르면 김수키는 과거처럼 AI를 피싱용 이미지나 음성, 미끼 문서 제작에만 활용하는 수준을 넘어 로컬 대형언어모델(LLM)과 검색증강생성(RAG) 환경을 직접 구축한 것으로 나타났다. AI 기반 개발 환경까지 운영한 흔적도 확인됐다.

북한 해킹조직은 그동안 외교·안보 분야 전문가를 대상으로 실제 업무 관계자를 사칭한 스피어피싱 이메일을 보내는 공격을 주로 수행해왔다. 이메일에 첨부한 ZIP 압축파일 안에 정상 문서처럼 위장한 악성 LNK(바로가기) 파일을 넣고, 사용자가 이를 실행하면 백그라운드에서 파워셸(PowerShell) 스크립트가 작동하는 방식이다.

이번 분석에서 확인된 정황은 공격 방식이 한층 발전했다는 점에서 주목된다. 김수키가 외부 서비스에 데이터를 전송하지 않고 사용할 수 있는 로컬 LLM 환경을 직접 구축해 탈취한 문서를 분석하거나 필요한 정보를 추출하고, 공격 과정 일부를 자동화하려 했던 것으로 지니언스는 분석했다.

구체적으로는 Ollama, GPT4All, Msty 등 로컬 LLM 실행·관리 도구를 비롯해 RAG 구성 환경과 AI 에이전트 개발 프레임워크, 음성인식(STT) 도구 등을 구축하거나 활용한 흔적이 확인됐다.

AI 기반 코딩 도구인 Cursor의 설치 및 사용 기록도 다수 발견됐다. 공격에 사용된 문서를 Cursor로 편집하고 AI가 생성한 결과물을 검토한 것으로 추정되는 기록도 확인됐다. 지니언스는 이를 토대로 김수키가 AI를 악성코드 개발이나 공격 자동화에 활용하기 위한 기술 검증과 연구를 진행하고 있는 것으로 판단했다.

피싱 공격에 사용되는 미끼 문서의 수준도 높아졌다. 과거에는 탈취한 정상 문서를 재활용하는 사례가 많았지만, 최근에는 생성형 AI를 이용해 만든 것으로 추정되는 가상자산과 금융 관련 문서가 공격에 활용되고 있다. 문서의 문장과 형식이 실제 업무 자료에 가까울 정도로 자연스러워 수신자의 신뢰를 얻은 뒤 악성 파일 실행을 유도하는 방식이다.

특히 가상자산 관련 분야가 주요 공격 대상으로 확인됐다. 투자 전략 보고서나 금융 자료로 위장한 악성 문서가 지속적으로 유포됐으며, 가상자산 지갑 정보와 Gmail 계정 정보, 웹사이트 가입 이력 등 개인정보의 노출 여부를 확인하려는 정황도 함께 포착됐다.

지니언스는 이번 사례가 국가 배후 해킹조직의 AI 활용 방식이 공격 준비 단계에서 실제 공격 수행과 정보 처리, 자동화 영역으로 확대되고 있음을 보여준다고 설명했다.

문종현 지니언스 시큐리티 센터장 이사는 "이번 분석은 국가 배후 해킹조직이 AI를 실제 공격 체계에 접목하기 위해 로컬 LLM과 AI 개발 환경까지 구축하며 공격 역량을 고도화하고 있음을 보여주는 사례"라며 "AI 기술 발전으로 사회공학 공격이 더욱 정교해질 것으로 예상되는 만큼 문서 내용보다 실제 실행 행위를 중심으로 탐지하는 EDR 기반 위협 헌팅 체계가 중요하다"고 말했다.

GSC는 국가 사이버 안보 분야에서 축적한 위협 분석과 인텔리전스 역량을 기반으로 국내외 사이버 위협을 추적하고 있다. 매월 발간하는 위협 인텔리전스 보고서를 통해 실제 사이버 공격과 침해 현장에서 확인된 위협 흐름과 공격 기법, 주요 동향 등을 분석하고 있다.

지니언스는 GSC의 연구 결과가 국가 사이버 안보 역량 강화에 기여하는 동시에 국내외 주요 위협 분석기관과 언론의 참고 자료로 활용되고 있다고 설명했다. 이번 김수키 분석 결과 역시 한국인터넷진흥원(KISA) 위협 인텔리전스 네트워크 협의체를 비롯한 국내외 협력 체계와 공유되고 있다.

이번 분석은 북한 해킹조직이 생성형 AI를 단순한 피싱 도구가 아닌 정보 분석과 악성코드 개발, 공격 자동화를 위한 핵심 수단으로 활용하기 시작했음을 보여준 사례라는 점에서 사이버 보안 업계의 주목을 받고 있다.

장효원 기자 specialjhw@asiae.co.kr