[비즈니스포스트]&nbsp;북한 연계 해킹조직 &lsquo;김수키(Kimsuky)&rsquo;가 인공지능(AI) 에이전트를 활용해 피싱용 미끼 문서를 제작하는 등 공격 수법을 고도화한 정황이 포착됐다.<br /> <br /> 7일 지니언스 시큐리티센터는 위협분석 보고서를 통해 김수키의 &lsquo;오퍼레이션 깃파워(Operation GitPower)&rsquo; 공격에서 진화한 변종을 확인했다고 밝혔다.<br /> &nbsp; <figure class="image" style="float:right;margin-right:0px; margin-left:15px; margin-top:30px; "><img alt="&quot;이자 납부 안내입니다&quot;, 북한 해킹조직 &#39;김수키&#39; AI로 미끼문서까지 제작" height="150" class='lazyload' data-src="https://www.businesspost.co.kr/news/photo/202609/20260907102221_107076.jpg" width="300" /> <figcaption><table width=320><tr><td align='left' style='margin:0; padding:0px 0px; color:#306f7f; font-size:12px; font-family:verdana; letter-spacing:-0.1em; line-height:160%; table-layout: fixed; width:180px;'>▲ 7일 지니언스는 북한 연계 해킹조직 김수키가 AI 코딩 에이전트와 깃허브 등을 활용해 피싱 문서 제작과 공격 인프라를 고도화한 정황이 포착됐다고 밝혔다. &lt;지니언스&gt;</td></tr></table></figcaption> </figure> <br /> 오퍼레이션 깃파워는 김수키가 소스코드와 파일을 저장&middot;관리하는 깃허브와 깃랩 등 개발자용 온라인 저장소를 명령제어 인프라와 악성코드 배포 경로로 활용하는 공격 활동이다.<br /> <br /> 이번 공격에서는 AI 에이전트 &lsquo;오픈코드(opencode)&rsquo;를 활용해 미끼 문서를 제작한 정황이 확인됐다.&nbsp;<br /> <br /> 지니언스가 분석한 미끼 문서에는 보험료 납부 안내와 이자 납부 안내, 정책자금 안내 등 실제 업무 문서와 유사한 내용이 담겼다.&nbsp;<br /> <br /> 일부 문서 속성에는 제작 도구로 오픈코드가 기록돼 있었고, 구체적 수치가 들어가야 할 자리에 &lsquo;임시값&rsquo; 표기가 그대로 남아 있는 사례도 확인됐다.<br /> <br /> 악성파일이 실행되면 공격자가 미리 만들어 둔 깃허브 계정에 접속해 추가 명령을 내려받는 방식이 사용됐다.&nbsp;<br /> <br /> 일부 변종은 텍스트 공유 사이트인 페이스트빈(Pastebin)도 명령 전달 채널로 병행해 깃허브 경로가 차단되더라도 공격을 이어갈 수 있도록 구성됐다.<br /> <br /> 깃허브 계정 인증에 사용하는 개인용 액세스 토큰(PAT)을 활용한 악성 바로가기(LNK) 파일 공격 정황도 확인됐다.<br /> <br /> 신규 변종에서는 분석 회피 기능도 강화됐다. 보안 분석 도구가 실행 중인지 확인한 뒤 탐지되면 작동을 중단하고 명령어 실행 기록을 삭제하는 방식이 적용됐다.<br /> <br /> 지니언스는 앞서 8월 김수키가 생성형 AI를 이용한 미끼 문서 제작을 넘어 거대언어모델(LLM) 환경을 구축한 정황도 포착했다.<br /> <br /> 검색증강생성(RAG)과 AI 개발 프레임워크, 음성인식 도구 등도 활용한 흔적이 확인돼 김수키가 악성코드 개발과 문서 분석, 피싱 콘텐츠 제작, 공격 자동화 등에 AI를 활용하기 위한 기술 역량을 축적하고 있는 것으로 분석됐다.<br /> <br /> 지니언스는 김수키의 공격이 기존 침투 수법 자체를 크게 바꾸기보다는 AI를 이용해 공격 준비와 운영 효율성을 높이는 방향으로 진화하고 있다고 봤다.<br /> <br /> 이에 따라 기업과 기관은 악성 LNK 파일 실행과 파워셸 기반 공격, 깃허브를 이용한 외부 통신 등 개별 위협 요소뿐 아니라 공격 과정 전반의 이상행위를 탐지할 수 있는 대응체계를 강화할 필요가 있다고 지니언스는 설명했다.<br /> <br /> 지니언스 측은 &ldquo;AI가 미끼 문서의 완성도와 제작 물량, 공격 준비 속도를 높이더라도 엔드포인트에서 발생하는 실행, 지속성, 통신, 페이로드 행위까지 숨길 수는 없다&rdquo;며 &ldquo;효과적 대응을 위해서는 최신 침해지표(IoC)를 지속적으로 반영하는 동시에 공격 단계 간 상관관계를 분석하고 이상행위를 신속하게 차단할 수 있는 엔드포인트 탐지 및 대응(EDR) 중심의 통합 대응 체계를 구축해야 한다&rdquo;고 말했다. 조승리 기자