북한 해킹조직으로 알려진 '김수키(Kimsuky)'가 생성형 인공지능(AI)을 사이버 공격에 활용하기 위해 로컬 대형언어모델(LLM)과 AI 개발 환경을 구축한 정황이 포착됐다.
지니언스는 김수키의 최근 공격 활동을 분석한 결과, 생성형 AI 기반 도구를 활용해 기밀정보를 분석하고 공격 업무를 자동화하기 위한 연구 흔적을 확인했다고 10일 밝혔다.
공격 과정에서는 '올라마(Ollama)', 'GPT4All', 'Msty' 등 로컬 LLM 실행·관리 도구와 검색증강생성(RAG) 환경이 확인됐다. AI 에이전트 개발 프레임워크와 음성인식(STT) 도구를 활용한 정황도 발견됐다.
생성형 AI 기반 코드 편집기 '커서(Cursor)'의 설치·사용 흔적도 다수 식별됐다. 공격에 활용된 문서를 편집하고 생성 결과물을 검토한 것으로 추정되는 기록도 확인됐다.
지니언스는 외부 서비스에 데이터를 전송하지 않는 로컬 LLM을 활용해 탈취 문서를 분석하거나 정보를 추출하고 공격 업무를 자동화하려 한 것으로 보고 있다.
스피어피싱 공격도 정교해졌다. 최근에는 가상자산 투자 전략 보고서와 금융 자료를 위장한 문서가 미끼로 활용됐다. 지니언스는 생성형 AI를 이용해 실제 업무 문서와 유사한 수준으로 제작한 것으로 판단했다.
가상자산 지갑과 지메일 계정 정보, 웹사이트 가입 이력 등 개인정보 노출 여부를 확인하려 한 정황도 식별됐다.
문종현 지니언스시큐리티센터(GSC) 이사는 “국가 배후 해킹조직이 로컬 LLM과 AI 개발 환경까지 구축하며 공격 역량을 고도화하고 있음을 보여주는 사례”라며 “실행 행위를 중심으로 탐지하는 EDR 기반 위협 헌팅 체계가 중요하다”고 말했다.
박진형 기자 jin@etnews.com
