중국 연계 해킹 조직이 인공지능(AI) 도구를 활용해 전 세계 200개 이상의 조직을 겨냥한 공격을 벌인 정황이 포착됐다. 해당 공격에는 최근 국내 금융권 연쇄 해킹 공격에 사용된 것으로 추정되는 AI 자율형 침투 시스템 '아르텍스'가 활용된 것으로 파악됐다.

4일 보안업계에 따르면, 미국의 사이버보안 기업 크라우드스트라이크의 위협 헌팅 조직 '오버워치'는 중국 연계 해킹 조직 '베이퍼 판다'(VAPOR PANDA)가 딥시크, 아르텍스 등을 활용해 지난달 17일부터 11일 동안 최소 14개국의 정부기관과 기업을 공격한 정황을 확인했다.

공격 대상에는 중남미, 유럽, 아시아, 중동 지역의 외교부와 미국의 반도체·방위 싱크탱크 조직 등 전략적 가치가 높은 정보를 보유한 기관들이 포함됐다.

크라우드스트라이크에 따르면 베이퍼 판다는 중남미 2개국 외교부에 광범위한 침투를 수행했으며, 중동 지역의 한 내무부도 침해했다. 이들은 중앙아메리카와 아시아 지역 외교부를 공격하는 데 사용할 표적 파일도 준비한 것으로 드러났다.

유럽의 한 국가를 겨냥한 공격에서는 해당 국가의 외교부, 대통령실, 총리실을 비롯한 국방·법무·재무·정보 기관을 노렸으며, 미국의 제약, 반도체, 방위, 원자력, 금융 부문의 조직 19곳을 공격 표적으로 삼은 사실도 확인됐다.

이와 함께 미국, 벨기에, 필리핀의 통신 사업자도 침해한 것으로 확인됐다.

크라우드스트라이크 인텔리전스는 9개 조직에서 공격자가 시스템 접근 권한을 확보한 뒤 악성코드 '블러드알케미'(BLOODALCHEMY)를 설치하고, 여러 계정에 비밀번호를 대입해 로그인을 시도하는 이른바 '크리덴셜 스프레잉'과 내부 네트워크 탐색, 추가 공격을 위한 정보 수집 등을 진행한 정황을 확인했다.

또 미국 싱크탱크와 유럽 정부 기관 등 최소 12개 조직을 대상으로 비밀번호를 무작위로 대입해 유효한 계정을 찾아내려는 공격도 포착했다.

공격 과정에는 AI도 활용됐다. 크라우드스트라이크는 베이퍼 판다가 딥시크로 아르텍스를 구동했으며, 구체적인 종류가 확인되지 않은 구독형 상용 대규모언어모델(LLM)을 보조적으로 사용했다고 설명했다.

베이퍼 판다는 아르텍스를 활용해 여러 공격을 동시에 수행하고, 의사결정이 필요한 지점에서만 개입해 AI 에이전트의 방향을 조정했다.

또한 이들이 AI 에이전트에게 엔드포인트 방어를 회피하도록 지시한 정황도 관찰됐다. 한 글로벌 제약 기업을 겨냥한 공격에서 공격자는 AI 에이전트에게 도메인 내에서 '팔콘'이 설치되지 않은 윈도우 시스템을 찾으라고 지시했다. '팔콘'은 크라우드스트라이크의 팔콘 센서를 가리키는 은어다.

크라우드스트라이크는 베이퍼 판다가 AI 기반 침투 도구를 사용한 것이 처음으로 확인됐다며, 이번 공격이 AI 기반 프레임워크가 여러 중국 연계 공격 그룹 사이에서 빠르게 확산하고 있음을 보여준다고 분석했다.

이어 향후 12개월 동안 중국 연계 공격 그룹이 아르텍스와 같은 에이전트형 프레임워크를 계속 도입하고 이를 상용 LLM과 결합해, 다수의 표적에 동시 침투를 시도하는 등 공격 규모를 빠르게 확대할 것이라고도 내다봤다.

sumin02@news1.kr