[CSW 2026] “북한 연계 김수키, AI로 진화”... 정밀한 표적 공격, 추적 힘든 악성코드 증가

CSW 2026에서 APAC 지역 위협 동향 공유

[중국 광저우=보안뉴스 한세희 기자] 한국 정부 기관을 주로 공격하는 북한 연계 위협 그룹 김수키가 AI를 이용해 진화하고 있다. 랜섬웨어 그룹들은 무차별 공격보다 정교한 표적 공격 비중을 높이고 있다.

3일 중국 광저우에서 열린 ‘사이버 시큐리티 위켄드(CSW) 2026’에서 세르게이 로즈킨 카스퍼스키 글로벌리서치및분석팀(GReAT) APAC 및 META 지역 총괄은 아태 지역 위협 동향을 공유하며 “김수키가 악성 코드 제작에 AI를 활용한 흔적이 나타났다”고 말했다.

▲세르게이 로츠킨 카스퍼스키 GReAT 아태 지역 총괄이 3일 CSW 2026에서 발표하고 있다. [출처: 보안뉴스]

멀웨어의 코드 주석에 이모지가 적혀 있는 등 초거대언어모델(LLM)로 악성 코드를 제작한 정황이 포착됐다는 설명이다. 또 ‘러스트’나 ‘고’ 등 상대적으로 덜 쓰이는 프로그래밍 언어로 악성 코드를 만들어 분석을 어렵게 하고 추적을 피하고 있다.

이 같은 AI 활용은 김수키뿐 아니라 대부분 지능형위협그룹(APT)에 공통적으로 나타나는 현상이라고 로츠킨 총괄은 설명했다.

김수키는 인기 개발 도구 ‘VS코드’ 환경을 이용한 공급망 공격도 활용한 것으로 나타났다.

또다른 북한 연관 위협 행위자 ‘라자루스’ 하위 그룹인 ‘블루노프’(BlueNorf) 역시 최근 벌어진 오픈소스 소프트웨어 ‘액시오스’(Axios) 공급망 공격에 연관된 것으로 나타났다.

액시오스는 널리 쓰이는 자바스크립트 HTTP 클라이언트로, npm에서 매주 1억회 이상 다운로드된다.

3월 공격자가 액시오스 유지관리자의 npm 계정을 침해해 악성 코드가 포함된 패키지 버전을 배포하는 사건이 있었다.

공격자가 배포한 버전에 plain-crypto-js라는 숨겨진 의존성이 포함돼 있었고, 이를 통해 맥과 윈도우, 리눅스 시스템에 원격접근 트로이목마(RAT)를 다운로드하고 배포했다.

이 공격에 대한 분석에서 지난해 자금 탈취를 목적으로 블루노프가 수행한 ‘고스트콜’(GhostCall) 및 ’고스트하이어’(GhostHire) 공격과 유사점이 발견됐다는 설명이다.

이는 최근 아태 지역 주요 위협으로 떠오른 공급망 공격의 대표적 사례 중 하나다. 로츠킨 총괄은 개발자들이 많이 쓰는 ‘노트패드++’ 소프트웨어에 침투해 트로이 목마를 심어 6개월 간 잠복해 있던 사례나 안티바이러스 백신 업데이트 서버에 침입해 백신을 도리어 고객사를 향한 공격 기자로 삼은 사례 등도 소개헀다.

로츠킨 총괄은 “AI는 대규모 피싱 공격, 멀웨어 개발, 사이버 공격 자동화 등을 통해 공격자들을 돕고 있다”고 말했다.

랜섬웨어 공격에 대한 주의도 강조했다. 그는 “랜섬웨어 공격이 수치상 줄어드는 경향이 있지만, 이를 랜섬웨어 위협이 줄어든 것으로 해석해선 안 된다”고 말했다. 랜섬웨어 그룹이 무차별 공격을 하기보다는 가능성이 높은 표적을 정해 정밀 타격하는 쪽으로 전략을 선회한데 따른 결과라는 설명이다.

그는 “랜섬웨어 그룹들이 철저한 사전 조사를 거쳐 가치가 높은 표적을 선별해 공격을 집중하고 있다”며 “공격자가 스마트해지고 있다”고 말했다.

[중국 광저우=한세희 기자(hahn@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다