지니언스 "北 해킹조직의 고도화된 AI 활용 사이버 위협 정황 확인"

지니언스 CI. [사진=지니언스 제공]

[아이티비즈 김문구 기자] 북한 해킹조직의 고도화된 인공지능(AI)을 활용한 사이버 위협 정황이 확인됐다.

지니언스는 북한 정찰정보총국 산하 해킹조직으로 알려진 김수키(Kimsuky)의 최신 공격 활동을 분석한 결과, 생성형 AI 기반 도구를 공격 체계 전반에 활용하기 위한 연구를 진행하고 관련 기술 역량을 축적해 온 정황을 확인했다고 10일 밝혔다.

지니언스에 따르면, 북한의 해킹조직은 단순 피싱용 미끼 제작 넘어 로컬 AI 환경 직접 구축해 기밀정보 추출 및 공격 자동화를 시도했다.

그동안 북한 해킹 조직은 외교·안보 전문가를 타깃으로 실제 업무 관련자를 사칭한 스피어피싱 이메일을 발송하는 방식을 주로 활용해 왔다. 또한 기존에 확인된 북한 해킹조직의 AI 활용은 주로 이미지와 음성 위조, 피싱용 미끼 제작 등 공격 준비 단계에 집중돼 있었다.

그러나 이번 분석에서는 AI를 단순히 미끼 제작에 활용하는 수준을 넘어, 위협 행위자가 직접 로컬 대형언어모델(LLM) 실행 환경과 검색증강생성(RAG) 환경을 구축하고 AI 기반 개발 환경을 운영한 흔적이 확인됐다고 지니언스는 발표했다.

분석 결과에 따르면, Ollama, GPT4All, Msty 등 로컬 LLM 실행 및 관리 도구와 RAG 구성 환경, AI 에이전트 개발 프레임워크, 음성인식(STT) 도구 등을 구축하거나 활용한 정황이 확인됐다.

이는 AI를 악성코드 개발과 공격 자동화에 활용하기 위한 연구와 기술 검증이 진행되고 있음을 시사하는 중요한 사례라고 지니언스는 설명했다.

공격 기법도 한층 정교해졌다. 기존에는 탈취한 정상 문서를 재활용하는 사례가 많았지만 최근에는 생성형 AI를 활용해 제작한 것으로 판단되는 가상자산과 금융 분야 문서를 스피어피싱 미끼로 활용하고 있었다.

지니언스 시큐리티 센터장 문종현 이사는 “이번 분석은 국가 배후 해킹조직이 AI를 실제 공격 체계에 접목하기 위해 로컬 LLM과 AI 개발 환경까지 구축하며 공격 역량을 고도화하고 있음을 보여주는 사례”라며 “AI 기술의 발전으로 사회공학 공격이 더욱 정교해질 것으로 예상되는 만큼, 문서 내용보다 실행 행위를 중심으로 탐지하는 EDR 기반 위협 헌팅 체계가 무엇보다 중요하다”고 강조했다.