지니언스 시큐리티 센터는 김수키(Kimsuky)가 수행하는 것으로 평가되는 Git 기반 C2 공격, 일명 ‘Operation GitPower’를 지속적으로 추적하던 중 새로운 공격 변종을 포착했습니다.
이번에 확인된 악성 샘플 13종은 기존 공격에서 확인된 핵심 전술을 그대로 계승하면서도, 추가적으로 진화한 공격 양상을 보였습니다.
일부 변종에는 분석 회피 루틴이 포함됐으며, GitHub 외에 Pastebin을 2단계 페이로드 전달 채널로 활용한 사례도 관찰됐습니다. 또한 미끼 문서 형식도 기존 PDF에서 XLSX, PNG 등으로 다변화됐습니다.
특히 이번 공격에서는 일부 PDF에서 AI 코딩 에이전트인 opencode의 사용 흔적이 확인됐으며, 본문에 ‘(임시값)’과 같은 미치환 플레이스홀더가 그대로 남아 있는 등 LLM으로 생성한 문서를 충분한 검수 없이 공격에 활용한 정황도 포착됐습니다.
이러한 결과는 김수키가 기존 GitHub PAT 기반 C2와 LNK 실행 체계를 유지하는 동시에, AI와 LLM을 활용해 미끼 문서의 제작 속도와 다양성을 높이고 있음을 보여줍니다.
