“VS코드로 들어와 메모리 직접 때린다” 카스퍼스키가 해부한 北 김수키 기술력
북한 배우 해킹 그룹 김수키가 LLM을 활용해 신규 백도어를 자체 제작하고, 공무원 디지털 신분증인 전자인증서(GPKI)를 무차별 수집하는 자동화 모듈을 운용했다. 김수키는 여러 보안회사가 자신들만의 방식으로 이름을 붙인다. 마이크로소프트에서는 루비슬릿, 맨디언트라는 회사에서는 세리움이라 부른다.
어떻게 알았지? 🤔
김수키의 최근 해킹 사건들을 분석해 이들이 주력으로 사용하는 악성코드인 페블대시와 애플시드간 기술적 연결고리를 입증했다. 해킹 사건들이 멀티스레딩 환경에서 공유 자원에 하나의 스레드만 접근하도록 하는 뮤텍스 패턴이 같고, 같은 도용인증서로 서명된 점을 포착했다고 한다.
애플시드와 페블대시는 APT공격에 이용되는 악성코드이다. 북한은 APT공격을 굉장히 잘하고 자주 이용하는 해킹 조직이다. 제미나이에게 물어보니까 페블대시는 좀비로 만들거사 악성프로그램을 강제로 설치하는 악성코드이고 애플시드는 숨어서 정보를 키로거등으로 탈취하는 악성코드라고 한다.
APT공격이 목적과 대상이 명확한것 처럼 국가 기반 인프라를 노공적으로 직접 타격했다. 애플시드는 2022년부터 공무원들이 사용하는 정부공인전자인증서(GPKI) 디렉토리를 집중수집하는 기능이 기본 탑재됐다. 표적이 국내 방위산업과 군, 정부를 넘었다.
VSCODE를 이용한 해킹? 🕶️
VSCODE를 해킹에 이용하였다고 밝혔다. 하지만 이건 APT공격이 이미 진행되었고 해커는 준비가 되있는 상태에서 VSCODE를 통로로 이용하였다. VSCODE에 취약점이 존재했다기 보다는 기존의 존재하는 기능을 악의적으로 사용한 것이다. VSCODE의 원격 터널링 기능과 클라우드플레어 퀵 터널을 악용해 시스템 침투 후 백도어 통로를 확보했다고 한다. 오픈소스 원격 관리도구 DW에이전트를 피해자 PC에 설치해 사후 침투활동을 지속하는 등 APT공격답게 계속해서 공격을 할 수있도록 해킹을 진행했다.
악성코드 개발 단계에서 LLM을 사용한 정황도 밝혀졌다. Rust 프로그래밍 언어로 작성된 신규 백도어 코드를 보면 LLM코딩의 특징인 이모지가 발견되었다고 한다. 북한은 단순 악성코드 업데이트를 넘어 AI 코드 생성 도구 활용, 정상 소프트웨어 악용이라는 두가지 축으로 공격의 정교함을 높이고 있으며, 이러한 위험에 대비해 정기적인 TI 업데이트가 중요하다고 카스퍼스키코리아 지사장은 말했다.
