북한 해킹조직 김수키의 AI 공격 체계 고도화

핵심 요약

북한 연계 해킹조직인 김수키가 생성형 AI를 단순한 보조 도구를 넘어 공격 체계 전반에 통합하려는 움직임을 보이고 있습니다. 이들은 로컬 대형언어모델(LLM)과 검색증강생성(RAG) 환경을 직접 구축하여 탈취한 정보를 효율적으로 분석하고, 공격 과정을 자동화하기 위한 기술적 준비를 마친 것으로 확인되었습니다. 이는 기존의 단순 피싱을 넘어 지능적이고 자동화된 사이버 공격으로의 진화를 의미합니다.

상세 내용

1. 로컬 AI 환경 구축과 정보 분석 역량 강화

김수키는 외부 AI 서비스에 데이터를 전송할 경우 발생할 수 있는 보안 노출을 피하기 위해, 개인용 컴퓨터나 내부 시스템에서 구동 가능한 로컬 LLM 실행 환경을 구축했습니다. Ollama, GPT4All, Msty와 같은 도구를 활용하여 독자적인 AI 운영 환경을 마련한 것이 특징입니다.

특히 주목할 점은 RAG(검색증강생성) 기술의 도입입니다. 이들은 확보한 대량의 문서를 AI와 연결하여 필요한 정보를 자동으로 검색하고 요약하도록 만드는 환경을 구성했습니다. 이를 통해 공격자는 탈취한 방대한 자료를 일일이 읽지 않고도 AI를 통해 핵심 정보를 빠르게 추출할 수 있게 되었으며, 이는 공격의 효율성을 극대화하는 핵심 요소가 됩니다.

2. 공격 자동화를 위한 AI 에이전트 및 기술 연구

단순한 정보 분석을 넘어, 공격의 전 과정을 스스로 수행하는 AI 에이전트 개발을 위한 준비 정황도 포착되었습니다. C# 및 .NET 환경에서 AI를 개발할 수 있는 라이브러리와 프레임워크를 확보한 것은, 기존의 악성코드나 공격 도구 내부에 AI 기능을 직접 결합하려는 의도로 풀이됩니다.

또한, 음성을 문자로 변환하는 STT(Speech-to-Text) 기술인 위스퍼(Whisper) 등을 시험한 흔적도 발견되었습니다. 이는 탈취한 통화 녹음이나 회의 음성 데이터를 자동으로 텍스트화하여 분석 대상으로 삼으려는 시도입니다. 이러한 기술적 축적은 정보 수집부터 분류, 분석, 후속 공격 준비에 이르는 사이버 공격의 전 과정을 자동화할 가능성을 시사합니다.

3. 정교해진 피싱 기법과 언어적 특징

공격의 초기 단계인 피싱 단계에서도 AI의 활용이 두드러집니다. 과거에는 기존 문서를 재활용하는 수준이었으나, 최근에는 생성형 AI를 이용해 실제 금융권이나 핀테크 기업의 투자 전략 보고서와 매우 유사한 문체와 디자인을 갖춘 가짜 문서를 제작하고 있습니다. 이모지를 활용하거나 문서 형식을 완벽하게 모방하여 사용자의 신뢰를 얻고 악성 파일 실행을 유도합니다.

한편, 이들의 운영 환경에서는 북한식 어휘와 표기가 반복적으로 나타나고 있습니다. '싸이트', '리력', '로출되였는지'와 같은 표현은 대한민국 표준어인 '사이트', '이력', '노출되었는지'에 대응하는 북한식 표현입니다. 이러한 언어적 습관은 이들이 기술적 질문을 할 때나 로그를 남길 때 명확하게 드러나며, 공격 주체를 프로파일링하는 중요한 단서가 되고 있습니다.

정리

김수키의 행보는 AI 기술을 단순한 미끼 제작 도구로 쓰는 단계를 지나, 공격 인프라 자체를 지능화하고 자동화하는 단계로 진입했음을 보여줍니다. 로컬 LLM과 RAG를 활용한 정보 분석의 효율화, AI 에이전트를 통한 공격 프로세스의 자동화는 향후 사이버 보안 위협을 더욱 심각하게 만들 것입니다. 따라서 이제는 문서의 내용이나 문체를 검사하는 방식에서 벗어나, 시스템 내부에서 발생하는 비정상적인 실행 행위와 통신 흐름을 통합적으로 탐지하는 대응 체계 구축이 시급합니다.