지니언스, 北 해킹조직 AI 활용 사례 공개

지니언스

| 서울=한스경제 석주원 기자 | 보안기업 지니언스가 북한 정찰정보총국 산하 해킹조직 김수키(Kimsuky)가 생성형 인공지능(AI) 도구를 악용한 공격 활동을 확대하고 있다는 분석을 10일 공개했다.

지니언스에 따르면 기존 북한 해킹 조직은 외교·안보 전문가를 대상으로 실제 업무 관련자를 사칭한 스피어피싱 이메일을 주로 사용해 왔다. 이 방식은 이메일에 첨부된 ZIP 압축파일 내 악성 LNK 파일을 실행하면 백그라운드에서 PowerShell 스크립트가 동작하도록 설계돼 있다.

이전까지 북한 해킹조직의 AI 활용은 이미지·음성 위조, 피싱 미끼 제작 등 공격 준비 단계에 집중돼 있었다. 그러나 이번 분석에서는 공격자가 직접 로컬 대형언어모델(LLM) 실행 환경과 검색증강생성(RAG) 환경을 구축하고 AI 기반 개발 환경을 운영한 흔적이 발견됐다.

지니언스는 외부 서비스로 데이터를 전송하지 않고 운용 가능한 로컬 LLM을 통해 탈취 문서를 분석하거나 정보 추출 및 공격 업무 자동화가 시도된 것으로 파악했다. AI를 활용한 공격이 국가 안보와 기업 생존에 위협이 될 정도로 고도화되고 있다는 점도 언급됐다.

공격 기법도 정교해졌다. 기존에는 탈취한 정상 문서를 재활용하는 사례가 많았으나 최근에는 생성형 AI로 제작된 가상자산 및 금융 분야 문서가 스피어피싱 미끼로 사용되고 있다. 자연스러운 문체와 실제 업무 문서 수준의 완성도로 사용자의 신뢰를 유도해 악성 파일 실행을 유도하는 방식이다.

최근 공격은 가상자산 분야를 주요 표적으로 삼고 있는 것으로 확인됐다. 투자 전략 보고서와 금융 자료를 위장한 악성 문서가 지속적으로 유포됐으며 분석 과정에서 가상자산 지갑 정보, Gmail 계정 정보, 웹사이트 가입 이력 등 개인정보 노출 여부를 확인하려는 정황도 함께 확인됐다.

문종현 지니언스 시큐리티 센터장은 “이번 분석은 국가 배후 해킹조직이 AI를 실제 공격 체계에 접목하기 위해 로컬 LLM과 AI 개발 환경까지 구축하며 공격 역량을 고도화하고 있음을 보여주는 사례”라며 “AI 기술의 발전으로 사회공학 공격이 더욱 정교해질 것으로 예상되는 만큼, 문서 내용보다 실행 행위를 중심으로 탐지하는 EDR 기반 위협 헌팅 체계가 무엇보다 중요하다”고 강조했다.

지니언스 시큐리티 센터(GSC)는 국내외 주요 사이버 위협을 추적하고 매월 위협 인텔리전스 보고서를 발간해 실제 현장에서 포착된 다양한 위협 흐름과 공격 기법 등을 제공하고 있다.