클로드·큐원·딥시크 넘나든 AI 해킹조직 SecFlow, 中 정부망서 환자정보까지 훔쳤다

보안 위협 인텔리전스 기업 헌트아이오(Hunt.io)가 상업용 AI 모델이 실제 해킹 작전의 부품으로 쓰인 새로운 사례를 공개했다. 보안 전문 매체 시큐리티어페어스(Security Affairs)는 9월 4일(현지시각) 이 보고서를 인용해 관련 내용을 보도했다. 공격자들은 클로드(Claude), 큐원(Qwen), 딥시크(DeepSeek) 세 개 AI 모델을 자유롭게 전환하며 정찰부터 침투, 데이터 수집, 보고서 작성까지 맡기는 자동화 체계를 구축했다. 표적은 대만 국민당(KMT) 당사관, 인도네시아 외교부, 중국 본토 정부·교육 기관, 베트남 다낭의 산업 시스템이었다. 이 중 중국 베이징 펑타이(丰台)구 정부의 전자결재(OA) 시스템은 실제 침해가 확인돼 행정·의료 기록이 유출됐다. 헌트아이오는 공격자가 부주의로 노출한 다섯 개 디렉터리를 추적해 작전 전체 구조를 재구성했다.

SecFlow, AI 에이전트를 사이버공격 조립라인으로 만들다

이번 작전의 핵심은 SecFlow라는 AI 오케스트레이션(작업 조율) 프레임워크다. SecFlow는 큰 목표를 정찰·취약점 검증·침투·데이터 수집·보고 등 세부 작업으로 쪼개 전문화된 AI 워커에게 나눠 맡겼다. 운영자는 작업 인터페이스를 바꾸지 않고도 클로드, 큐원, 딥시크 프로필을 전환할 수 있었고, 각 워커는 표적 정보와 프록시 경로, 공유 저장소, 이전 작업 결과를 공유하며 작업을 이어받았다.

모델 트래픽은 니스툴스닷컴(niestools.com) 아래 마련된 사설 릴레이 서버와 공식 제공업체 API 경로를 함께 거쳤다. 회수된 설정에는 클로드 ACP와 큐원 코드 래퍼가 확인됐는데, 권한 확인을 건너뛰는 이른바 ‘욜로(yolo)’ 승인 모드를 포함해 광범위한 권한이 부여돼 있었다. 연구진은 AI 모델이 직접 시스템에 침입하지는 않았다고 밝혔다. 대신 공개된 개념증명(PoC) 코드, 자격증명 탈취 시도, 웹셸 배포 같은 전통적 침입 수법을 조직하고 속도를 높이는 역할을 했다. 헌트아이오는 공유 SOCKS 프록시 엔드포인트(103.45.65[.]93:35888)가 다섯 개 서버에서 120건의 파일 내용 일치로 나타났다고 밝혔다.

펑타이구 정부망, LSASS 덤프를 37조각으로 쪼개 훔쳤다

가장 심각한 확인 사례는 펑타이구 정부 OA 시스템이다. 공격자는 ASPX 파일 업로드를 허용하던 전자결재 애플리케이션을 통해 윈도우 명령 실행 권한을 확보했다. 이어 ASPX 웹셸을 이용해 내부 데이터베이스를 조회하고, LSASS 메모리 덤프를 37개 조각으로 나눠 인증된 SOCKS 경로로 하나씩 내보낸 뒤 바이트 수를 검증해 전체 파일을 재구성했다.

공격자는 SAM·SYSTEM 레지스트리 하이브도 함께 확보했다. extract.aspx라는 별도 서버 페이지는 메모리 덤프 구역을 스캔해 윈도우 비밀번호 해시 자료를 찾아냈다. 이를 통해 OA 계정 822건이 유출됐고, 지속 접근을 위한 새 관리자 계정도 새로 생성됐다. 침해당한 환경에는 총 949개 첨부파일, 약 1.28GB 분량의 자료가 저장돼 있었는데, 여기에는 행정 문서와 실제 환자 정보를 담은 만성질환 보고서가 포함돼 있었다. 공격자들은 이후 고(Go) 언어로 작성된 원격접근 임플란트 ‘SecBox’를 심었다. SecBox는 원격 명령 실행, 파일 전송, 포트 스캔, SOCKS 프록시, 포트 포워딩 기능을 지원했고, 페이스트빈(Pastebin)·깃허브 지스트(GitHub Gists)·트라이클라우드플레어(TryCloudflare) 도메인을 통해 명령·제어 경로를 바꿔 탐지를 피할 수 있도록 설계됐다.

PNG 이미지 속에 악성코드를 숨긴 GLUTTON 웹셸과 위장 MySQL 서버

공격자들이 쓴 웹셸 툴킷 ‘GLUTTON’은 자바, .NET, Node.js, JSP, ASPX, PHP 등 다양한 서버 형식을 지원했다. 일부 페이로드는 PNG 이미지의 RGB 픽셀 값 안에 실행코드를 숨기는 스테가노그래피 기법을 썼다. 서버의 디코더가 이미지를 픽셀 단위로 읽어 고정 키로 XOR 복호화한 뒤 메모리에 곧바로 로드하는 방식이어서, 파일 확장자나 콘텐츠 타입만 검사하는 보안 장치는 이를 걸러내지 못했다.

또 다른 침입 경로는 가짜 MySQL 서비스였다. 취약한 자바 애플리케이션이 이 위장 서버에 접속하면, 서버가 특수하게 조작된 데이터를 돌려줘 클라이언트 쪽에서 안전하지 않은 객체 역직렬화를 유발했다. 통상 안전하다고 여겨지는 아웃바운드 데이터베이스 조회가 인바운드 코드 실행으로 뒤바뀐 셈이다. 이 밖에도 SecFlow 워크플로에는 셸쇼크, 스프링4셸, 고스트캣, 아파치 시로(Shiro) 역직렬화, 로그4셸, 그라파나·넥서스 경로 traversal, 나코스 인증 우회 등 8개 알려진 취약점 공격 절차가 포함돼 있었다.

오판도 그대로 확산…교육용 AI 플랫폼까지 뚫렸다

연구진이 주목한 대목은 AI 조율 방식의 취약점이다. 검증되지 않은 아파치 시로 익스플로잇 성공 주장이 AI 워크플로에서 그대로 성공으로 처리됐고, 이 잘못된 결과를 근거로 후속 GLUTTON 관련 작업이 27차례 넘게 시도됐지만 모두 실패했다. 헌트아이오는 “자율 혹은 반자율 공격 워크플로가 잘못된 가정을 유효한 발견만큼이나 효율적으로 증폭시킬 수 있다”고 지적했다.

별도 사례에서는 중국의 한 교육용 AI 플랫폼 관리 백엔드가 인증 없이 접근 가능한 상태로 노출됐다. 이곳에서 AI 에이전트 설정 23건, API 비밀키 정보 14건, 완전한 챗봇 대화 기록 104건이 드러났다. 대화 기록 일부에는 진로 상담·스터디 파트너 챗봇을 이용한 학생들의 이름, 학번, 전공, 지도교수 정보가 실명으로 담겨 있었다. 노출된 자격증명은 오래된 값이 아니라 실제 운영 중인 API에서 그대로 작동했다. 연구진은 이 데이터로 새 에이전트 설정 생성이 가능했음을 확인했지만, 서버 전체가 장악됐는지는 확인하지 못했다고 밝혔다. 별도로 한 대학의 캠퍼스 카드 시스템에서는 데이터베이스 루트 권한 접근이 확보된 사례도 나왔다.

헌트아이오는 이번 인프라를 중국어 사용 운영자와 ‘중간 신뢰도’로 연결했다. 단순 중국어(간체) 흔적, 반복적으로 등장하는 ‘Nie’라는 계정명, 중국계 프록시 관리 서비스, 니스툴스닷컴 모델 라우팅 구조가 근거였다. 다만 특정 국가 배후 조직으로 단정할 만한 증거는 확보되지 않았다고 밝혔다. 이번 캠페인은 헌트아이오가 최근 두 달 사이 확인한 두 번째 사례로, 상업용 AI 모델을 실제 침입 작전의 운영 도구로 쓰는 패턴이 반복되고 있음을 보여준다.