북한 해킹조직 김수키, 자체 AI 환경 구축하고 공격 자동화

외부 AI 의존 없이 로컬 LLM·RAG 환경 구축 정황

탈취 문서 분석·정보 추출부터 공격 준비 자동화까지

AI로 정교해진 가상자산·금융 미끼…계정·지갑 정보 노려

AI 활용 공격 흐름도 [사진=지니언스 시큐리티 센터]

북한 해킹조직 ‘김수키(Kimsuky)’가 생성형 인공지능(AI)의 활용 범위를 단순한 피싱 자료 제작에서 탈취 정보 분석과 공격 자동화 영역으로 확대하려는 움직임을 보이고 있다. 외부 서비스에 의존하지 않는 자체 로컬 대규모언어모델(LLM) 환경까지 구축한 정황도 확인됐다.

10일 사이버 보안 전문기업 지니언스가 공개한 북한 정찰정보총국 산하 해킹조직 김수키의 최신 공격 활동 분석 결과에 따르면 김수키의 활동 과정에서 Ollama와 GPT4All, Msty 등 로컬 LLM 실행·관리 도구가 발견됐다. 검색증강생성(RAG) 환경을 비롯해 AI 에이전트 개발 프레임워크와 음성인식 도구를 구축하거나 활용한 흔적도 포착됐다.

AI 기반 코드 편집기인 커서(Cursor)를 사용한 기록도 다수 확인됐다. 공격에 활용할 문서를 편집하고 AI가 생성한 결과물을 검토하는 과정에 해당 도구를 이용했을 가능성이 제기된다.

기존 북한 해킹조직의 AI 활용은 위조 이미지·음성 제작이나 피싱 문구 작성처럼 공격을 준비하는 단계에 주로 머물렀다. 하지만 이번에는 외부 AI 서비스에 데이터를 넘기지 않고 독자적으로 운용할 수 있는 로컬 LLM과 검색증강생성(RAG) 환경을 직접 구축한 정황이 포착됐다. 탈취한 문서를 분석하고 필요한 정보를 추출하거나 반복적인 공격 업무를 자동화하기 위한 기술 검증이 진행되고 있다는 분석이다. 

과거 김수키가 전문가나 기관 관계자를 사칭해 악성 문서와 링크를 전달하는 데 집중한 것과 달리 이번에 포착된 로컬 LLM과 RAG 환경은 정보 분석과 공격 준비를 자동화해 공격의 속도와 규모를 확대하려는 시도로 풀이된다. 

또 외부 AI 서비스에 데이터를 넘기지 않고 자체 환경에서 탈취 문서를 검색·요약할 수 있다는 점에서 표적별 정보 분석과 맞춤형 피싱 자료 제작의 효율을 높이려는 의도로 읽힌다. 

공격에 사용되는 미끼도 한층 정교해진 것으로 나타났다. 과거에는 탈취한 정상 문서를 재활용하는 방식이 많았지만 최근에는 생성형 AI로 작성한 것으로 추정되는 가상자산 투자 보고서와 금융 자료가 스피어피싱에 활용되고 있는 것이 확인됐다. 

자연스러운 문장과 실제 업무 자료에 가까운 형식을 갖춰 이용자의 경계심을 낮추고, 이후 첨부된 악성 파일을 실행하도록 유도해 계정이나 개인정보를 탈취하는 방식이다.

특히 가상자산 분야가 주요 공격 대상으로 떠오르고 있다. 공격자는 가상자산 지갑 정보와 지메일(Gmail) 계정, 웹사이트 가입 기록 등 개인의 금융·온라인 활동 정보를 확인하려 한 것으로 분석됐다.

문종현 지니언스 시큐리티 센터장은 “국가 배후 해킹조직이 AI를 실제 공격 체계에 접목하기 위해 로컬 LLM과 AI 개발 환경까지 구축하며 공격 역량을 고도화하고 있다”며 “문서 내용보다 실행 행위를 중심으로 탐지하는 엔드포인트 탐지·대응(EDR) 기반 위협 헌팅 체계가 중요하다”고 말했다. 

한편 지니언스 시큐리티 센터는 이번 분석 결과를 한국인터넷진흥원(KISA) 위협 인텔리전스 네트워크 협의체를 포함한 국내외 협력 기관과 공유하고 있다.