북한 정찰총국 산하 해킹 조직으로 알려진 '김수키(Kimsuky)'가 생성형 인공지능(AI)을 공격 과정 전반에 활용하기 위해 로컬 대형 언어 모델(LLM)과 검색 증강 생성(RAG) 환경을 구축한 정황이 포착됐다.
사이버 보안 전문 기업 지니언스는 김수키의 최근 공격 활동을 분석한 결과, 생성형 AI 기반 도구를 공격 체계에 활용하기 위한 연구와 기술 검증을 축적해 온 정황을 확인했다고 10일 밝혔다.
그동안 북한 해킹 조직은 외교·안보 전문가를 목표로 실제 업무 관련자를 사칭한 스피어피싱 이메일을 발송하는 방식을 주로 활용해 왔다. 수신자가 이메일에 첨부된 압축 파일 속 문서 모양의 악성 바로가기 파일을 실행하면 백그라운드에서 파워셸(PowerShell) 스크립트가 동작하는 방식이 대표적이다.
그러나 이번 분석에서는 AI를 단순히 미끼 제작에 활용하는 수준을 넘어, 위협 행위자가 직접 로컬 대형 언어 모델(LLM) 실행 환경과 검색 증강 생성(RAG) 환경을 구축하고 AI 기반 개발 환경을 운영한 흔적이 확인됐다는 것이 지니언스의 설명이다.
구체적으로 Ollama, GPT4All, Msty 등 로컬 LLM 실행·관리 도구와 RAG 환경, AI 에이전트 개발 프레임워크, 음성 인식(STT) 도구 등을 구축하거나 활용한 정황이 식별됐다. AI 코딩 도구인 커서(Cursor)를 설치·사용한 흔적도 다수 발견됐다.
지니언스는 이에 대해 외부 서비스로 데이터를 전송하지 않고도 운용할 수 있는 로컬 LLM을 활용해 탈취 문서를 분석하거나, 정보 추출과 공격 업무를 자동화하려는 시도로 해석된다고 밝혔다.
공격에 활용되는 미끼 문서도 정교해지고 있는 것으로 나타났다. 기존에는 탈취한 정상 문서를 재활용하는 방식이 주로 확인됐지만, 최근에는 생성형 AI로 제작한 것으로 추정되는 가상 자산·금융 관련 문서가 스피어피싱에 활용됐다.
특히 가상자산 분야를 주요 표적으로 삼아, 투자 전략 보고서와 금융 자료를 위장한 악성 문서가 지속적으로 유포됐다. 분석 과정에서는 가상자산 지갑 정보와 Gmail 계정 정보, 웹사이트 가입 이력 등 개인정보의 노출 여부를 확인하려는 정황도 함께 식별됐다.
문종현 지니언스 시큐리티 센터장은 "이번 분석은 국가 배후 해킹 조직이 AI를 실제 공격 체계에 접목하기 위해 로컬 LLM과 AI 개발 환경까지 구축하며 공격 역량을 고도화하고 있음을 보여주는 사례"라며 "AI 기술의 발전으로 사회공학 공격이 더욱 정교해질 것으로 예상되는 만큼, 문서 내용보다 실행 행위를 중심으로 탐지하는 EDR 기반 위협 헌팅 체계가 무엇보다 중요하다"고 했다.
이번 분석 결과는 한국인터넷진흥원(KISA) 위협 인텔리전스 네트워크 협의체를 비롯한 국내외 협력 체계와 공유되고 있다. 보고서 전문은 지니언스 홈페이지에서 확인할 수 있다.