北해킹조직 김수키, AI로 ‘미끼 문서’ 뚝딱…공격 자동화 단계로

동아DB 북한 연계 해킹 조직 ‘김수키(Kimsuky)’가 인공지능(AI) 코딩 에이전트까지 해킹에 끌어들인 정황이 처음 포착됐다. 앞서 AI와 로컬 거대언어모델(LLM)을 공격 준비에 활용하는 움직임은 감지됐지만, 실제 공격 파일에서 특정 AI 코딩 에이전트를 사용한 흔적이 드러난 것은 이번이 처음이다.7일 지니언스 시큐리티센터(GSC)에 따르면 지난달 수집한 김수키 계열 악성 파일 13종을 분석한 결과 일부 미끼 PDF의 제작 정보에서 오픈소스 AI 코딩 에이전트 ‘오픈코드(opencode)’가 확인됐다. 오픈코드는 자연어로 지시하면 코드를 짜거나 파일을 만들어주는 AI 도구다. 공격에 쓰인 미끼 문서는 보험료 납부 안내나 정책자금 지원 안내 등 업무 현장에서 접할 법한 자료처럼 꾸며졌고, 일부는 오픈코드로 제작된 것으로 파악됐다.미끼를 물면 본격적인 공격이 이어진다. 사용자가 압축파일 안에 든 문서로 위장한 바로가기(LNK) 파일을 실행하면 윈도우의 명령 실행 도구인 ‘파워셸(PowerShell)’이 작동했다. 이후 감염된 PC는 공격자가 만든 깃허브 계정에 접속해 추가 명령을 받아왔다. 일부 변종은 텍스트 공유 사이트 ‘페이스트빈(Pastebin)’에서도 명령을 받아오도록 했다. 깃허브가 막혀도 다른 통로로 공격을 이어가기 위한 것으로 분석된다.AI 에이전트가 만든 미끼는 허술했지만, 해킹용 미끼 제작이 자동화되는 단계에 이르렀다는 점은 엿볼 수 있었다. 보험료 안내문에는 ‘납부 주기: 매월 납입일(임시값)’, 정책자금 안내문에는 ‘업체당 최대 1억 원, 연 2.0% 고정금리(임시값)’처럼 나중에 채워 넣어야 할 표시가 그대로 있었다. 일부 문서에서는 이런 ‘임시값’이 최대 9차례 발견됐고, 제목과 용도가 다른데도 본문이 80% 이상 같은 사례도 있었다. 지니언스가 확보한 미끼 문서 29개 가운데 내용이 서로 다른 것은 11종이었고 나머지 18개는 같은 문서를 파일명만 바꿔 재사용했다. 특히 오픈코드로 제작된 PDF 4종은 생성 시각이 초 단위까지 같았다. 지니언스는 여러 문서가 하나의 자동화 과정에서 일괄 생성됐을 가능성이 있다고 봤다.공격이 탐지되는 것을 피하려는 수법도 정교해졌다. 일부 악성 파일은 실행 전 PC에서 보안 분석 도구나 가상화 프로그램이 돌아가는지 확인한 뒤 하나라도 발견되면 곧바로 작동을 멈췄다. 보안 전문가가 악성 파일을 들여다보고 있다고 판단되면 스스로 숨는 셈이다. 감염된 PC...