북한 해킹조직 '김수키'가 생성형 AI를 피싱 문서 제작뿐 아니라 탈취 정보 분석과 공격 자동화에 활용하려 한 정황이 포착됐다.
지니언스는 김수키의 최근 공격 활동을 분석한 결과, 공격자가 로컬 대규모언어모델(LLM)과 검색증강생성(RAG) 환경을 직접 구축하고 AI 기반 개발도구를 운용한 흔적을 확인했다고 10일 밝혔다.
김수키는 북한 정찰총국 산하 조직으로 알려진 해킹그룹이다. 그동안 외교·안보 전문가나 업무 관계자를 사칭해 악성 파일을 보내는 스피어피싱 공격을 주로 사용해왔다. 이메일에 첨부된 압축파일 속 문서 모양의 바로가기(LNK) 파일을 실행하면 백그라운드에서 파워셸 스크립트가 작동하는 방식이다.
기존 북한 해킹조직의 AI 활용은 위조 이미지·음성을 만들거나 피싱용 미끼 문서를 작성하는 등 공격 준비 단계에 집중됐다. 이번에는 외부 서비스에 데이터를 전송하지 않고 내부에서 운용할 수 있는 로컬 LLM을 구축한 정황이 확인됐다.
지니언스는 공격자가 이를 이용해 탈취한 문서를 분석하고 필요한 정보를 추출하거나 반복적인 공격 업무를 자동화하려 했을 가능성이 있다고 분석했다.
공격 환경에서는 '올라마(Ollama)', 'GPT4All', 'Msty' 등 로컬 LLM 실행·관리 도구와 RAG 구성 환경, AI 에이전트 개발 프레임워크, 음성인식 도구 등이 발견됐다. AI 코딩 도구 '커서(Cursor)'를 설치해 공격에 쓰인 문서를 편집하고 생성 결과물을 검토한 것으로 추정되는 기록도 확인됐다.
공격 대상은 가상자산과 금융 분야에 집중됐다. 공격자는 투자전략 보고서와 금융자료를 위장한 악성 문서를 유포했다. 지니언스는 이들 문서가 생성형 AI를 이용해 작성된 것으로 보이며, 문체와 형식이 실제 업무 문서와 구분하기 어려울 정도로 정교했다고 설명했다.
분석 과정에서는 가상자산 지갑 정보와 지메일 계정, 웹사이트 가입 이력 등 개인정보의 노출 여부를 확인하려 한 정황도 발견됐다.
문종현 지니언스 시큐리티센터장은 "국가 배후 해킹조직이 AI를 실제 공격 체계에 접목하기 위해 로컬 LLM과 AI 개발 환경까지 구축하고 있음을 보여주는 사례"라며 "문서 내용보다 실행 행위를 중심으로 탐지하는 엔드포인트 탐지·대응(EDR) 기반 위협 헌팅 체계가 중요하다"고 말했다.
지니언스는 이번 분석 결과를 한국인터넷진흥원(KISA) 위협 인텔리전스 네트워크 협의체 등 국내외 협력체계와 공유했다. 보고서 전문은 지니언스 홈페이지에서 확인할 수 있다.