"코드 짜줘" 했더니 악성파일 뚝딱…北 해커도 AI 코딩 에이전트 악용

지니언스 시큐리티 센터, 北 해커 AI 코딩 에이전트 '오픈코드' 흔적 첫 포착

보험료·정책자금 등 위장 파일명 사용…오픈코드 활용

"AI, 미끼 문서 완성도 높이고 회피 기법 점차 정교화"

[서울=뉴시스] 오픈코드 화면. (사진=지니언스 시큐리티 센터 제공) 2026.09.07. [email protected] *재판매 및 DB 금지

[서울=뉴시스]박은비 기자 = 북한 해커조직이 악성코드 유포와 미끼 문서 제작에 오픈소스 인공지능(AI) 코딩 에이전트까지 동원한 정황이 드러났다. 해커가 직접 문서를 조작하던 과거 수법에서 벗어나, 자연어 명령 몇 줄로 악성 LNK(바로가기) 파일과 정교한 금융 사칭 문서를 대량 생성하는 방식으로 진화한 것이다.

7일 지니언스 시큐리티 센터에 따르면 지난달 11일부터 18일 사이 수집한 악성 윈도 LNK 파일과 미끼 문서를 상세 분석한 결과 AI 코딩 에이전트인 오픈코드 계열을 악용한 사이버 공격 정황이 다수 포착됐다.

분석 대상 LNK 파일은 자금 집행, 보험료, 이자 납부, 정책자금, 인증서 갱신, 매장 기준정보, 고객서류, 비자(Visa) 결제 등 금융 및 금융 실무 시나리오로 위장한 키워드로 교묘히 위장했다.

오픈코드는 터미널 환경서 자연어 지시에 따라 코드 작성과 파일 생성을 자동으로 수행하는 오픈소스 AI코딩 에이전트 도구다. 이는 일반적인 문서 작성 프로그램에서 생성되는 값은 아니다. 해당 문서가 수작업 문서 작성 도구가 아닌 AI 에이전트를 통해 프로그래밍 방식으로 생성됐을 가능성을 시사한다는 게 회사 설명이다.

[서울=뉴시스] PDF 속성 정보에 포함된 오픈코드 기록. (사진=지니언스 시큐리티 센터 제공) 2026.09.07. [email protected] *재판매 및 DB 금지

지니언스 분석 결과, 수집된 미끼 PDF 파일의 속성(메타데이터) 정보에는 워드 등 일반적인 문서 편집 소프트웨어가 아닌 오픈코드 환경에서 스크립트 기반으로 생성된 고유 식별 레코드가 고스란히 남아 있었다.

특히 여러 문서의 생성 시각이 초 단위까지 완전히 일치해 사용자가 각 문서를 순차적으로 생성하거나 편집한 일반적인 작업 패턴과는 차이가 있다. 하나의 자동화된 처리 과정이나 스크립트를 통해 여러 문서가 한 번에 생성됐다고 볼 수 있는 대목이다.

센터는 LNK의 위조된 속성 설명 등이 김수키 오퍼레이션 깃파워(Operation GitPower) 보고서에 기술된 지문과 일치하고, 비정상적으로 긴 실행 인수와 URL 조각 결합 방식, 숨김 예약 작업과 금융·법률·업무 문서로 위장하는 미끼 주제 계승 및 확장 방식 등을 종합해볼 때 김수키 소행으로 추정했다.

지니언스 시큐리티 센터 관계자는 "AI가 미끼 문서의 완성도와 공격 준비 속도를 높이고 회피 기법도 점차 정교해지고 있다"며 "최신 침해지표를 지속적으로 반영하는 동시에 공격 단계간 상관관계를 분석하고 이상 행위를 신속히 차단할 수 있는 이상 행위 탐지·대응(EDR) 중심의 통합 대응 체계 구축이 필요하다"고 강조했다.


◎공감언론 뉴시스 [email protected]