MDR 기업 엑스펠 “채용 관련 내용으로 속여 개발자 생태계 감염”
AI 이용 가짜 회사·임원·채용 담당자 만들어 정상 회사의 채용 절차로 위장
AI 이용 악성코드 생성하고 AI의 탐지 회피하는 도구도 사용
[데이터넷] 북한 연계 해킹 조직이 개발자 생태계 전반을 겨냥한 ‘산업화된 공급망 공격’으로 진화하고 있는 것으로 나타났다. 특히 생성형 AI를 공격 전 과정에 활용하면서 효율성과 확장성을 크게 높였다.
미국 MDR 기업 엑스펠(Expel)의 분석에 따르면, 라자루스 그룹 산하 조직으로 추정되는 ‘헥사고날 로던트(HexagonalRodent)’가 개발자를 표적으로 한 정교한 사회공학 기법과 오픈소스 공급망 오염을 결합한 공격을 수행했다. 이 캠페인을 통해 최근 수개월 동안 약 1200만 달러의 암호화폐 탈취가 발생한 것으로 파악된다.
공격자는 단순 피싱 수준을 넘어 실제 기업처럼 보이는 위장 인프라를 구축했다. 가짜 기업을 설립하고 웹사이트와 채용 공고를 운영하는 한편, 링크드인 등에서 채용 담당자 및 임직원 프로필을 생성해 신뢰도를 높였다. 일부 사례에서는 멕시코에 법인 등록까지 진행해 위장 수준을 더욱 끌어올렸다.
이후 개발자에게 채용 절차의 일환인 ‘기술 평가’ 또는 ‘코딩 테스트’를 제안하며 악성 도구를 내려 받도록 유도했다. 해당 도구에는 백도어가 포함돼 있었으며, 실행 시 개발자의 로컬 개발 환경과 코드 저장소에 악성 코드가 삽입되도록 설계됐다. 개발자가 안전모드로 실행해도 악성코드가 동작하도록 했다. 이로 인해 개인 시스템을 넘어 조직의 소프트웨어 공급망까지 연쇄적으로 감염되는 구조가 형성됐다.
특히 이번 공격에 AI가 광범위하게 활용됐다는 점이 주목된다. 공격자는 가짜 기업 웹사이트 제작, 임직원 프로필 생성, 커뮤니케이션 메시지 작성 등에 AI를 활용해 자연스러운 위장 환경을 구축했다. 악성 코드 일부 역시 AI로 생성되거나 보조를 받아 작성된 것으로 분석된다.
더 나아가 공격자는 자신들이 개발한 악성 코드가 탐지될 가능성을 낮추기 위해 여러 AI 모델을 활용해 사전 검증을 수행한 정황도 확인됐다. 이는 AI를 단순 제작 도구를 넘어 ‘탐지 회피 검증 도구’로까지 활용한 사례로 해석된다.
엑스펠은 이번 공격이 최신 고급 기법을 사용하지 않았음에도 공격에 성공했다고 분석했다. 일부 피해 조직은 엔드포인트 탐지·대응(EDR) 솔루션을 운영하고 있었음에도 감염을 막지 못한 것으로 나타났다. 이는 공격의 핵심이 취약점 공략이 아닌 신뢰 기반의 개발 프로세스를 악용하는 데 있었기 때문이다.
엑스펠은 은 이러한 공격이 최근 IT 업계 환경과도 맞물려 성공률이 높아졌다고 분석했다. 글로벌 기술 업계의 고용 불안과 원격 근무 확산으로 인해 개발자 채용 과정이 느슨해진 틈을 노렸다는 것이다. 실제로 북한 연계 조직은 위장 취업이나 프리랜서 프로젝트 참여를 통해 내부 접근 권한을 확보하는 방식도 병행하고 있는 것으로 알려진다.
Tag
댓글
0