[해외보안뉴스] AI로 공격 경로 스스로 결정하는 신종 윈도우 악성코드 'ClosedQuorum' 등장
· 2026-09-23 04:00
· 조회 16
· 원문 ↗
최근 Google Gemini, DeepSeek, Qwen, Mistral 등 다양한 대형 언어 모델(LLM)을 활용하여 시스템 침투 후 공격 행위를 스스로 결정하는 신종 윈도우 악성코드 'ClosedQuorum'이 발견되었습니다. 이 악성코드는 미리 정의된 고정 스크립트에 의존하는 기존 방식에서 벗어나, 공격 대상 시스템의 상태 정보를 AI 모델에 전달하고 그에 맞춰 권한 상승, 데이터 탈취 등 다음 공격 단계를 자율적으로 판단하여 수행하는 점이 특징입니다.
ClosedQuorum은 윈도우 운영체제를 사용하는 개인 및 기업 환경 전체를 위협 대상으로 삼고 있습니다. 공격자가 직접 명령을 내리지 않아도 AI가 최적의 공격 명령을 실시간으로 생성하므로, 공격의 자동화와 효율성이 대폭 향상되었습니다. 특히 AI의 답변에 따라 매번 공격 행위가 변동되므로, 행위 패턴이 일정한 기존 악성코드와 달리 시그니처 기반의 보안 솔루션이나 정적 분석을 통한 초기 탐지를 회피할 가능성이 높습니다.
이러한 AI 기반 악성코드 위협에 대응하기 위해서는 외부 AI 서비스(Gemini, DeepSeek 등)의 API 엔드포인트로 향하는 비정상적인 트래픽을 모니터링하고 차단하는 네트워크 보안 정책이 필요합니다. 또한, 기업 보안 담당자는 엔드포인트 감지 및 대응(EDR) 솔루션을 활용해 프로세스의 유효하지 않은 실행 패턴을 실시간으로 감지해야 하며, 최소 권한 원칙(Zero Trust)을 적용하여 악성코드가 권한을 확장하는 경로를 사전에 봉쇄해야 합니다.
공격 로직이 하드코딩된 스크립트 대신 LLM 기반으로 동적 생성되면, 기존의 정적 패턴 분석이나 시그니처 기반 탐지 체계는 무력화될 수밖에 없습니다.
아키텍처 관점에서는 사내 시스템에서 허가되지 않은 외부 LLM API 엔드포인트로 향하는 Outbound 트래픽을 차단하는 엄격한 에그레스(Egress) 필터링 정책을 먼저 적용해야 합니다.
결국 코드 레벨의 최소 권한 원칙 적용과 함께, 프로세스의 비정상적인 런타임 행위를 실시간으로 추적하는 제로 트러스트 기반의 모니터링 강화가 시급해 보입니다.
공격자가 여러 LLM을 침투 후 단계(Post-Exploitation)에 직접 결합하여 자율적인 공격 경로를 생성하게 만든 점이 매우 위협적입니다. C2 오퍼레이터의 직접적인 개입 없이도 대상 환경의 정보에 맞춰 최적의 권한 상승 및 내부 이동(Lateral Movement) 전술을 동적으로 선택할 수 있습니다. 이는 기존의 정적 패턴 기반 탐지 체계를 손쉽게 우회하고, 위협 대응 시간을 극단적으로 단축시키는 심각한 공격 벡터가 될 것입니다.
공격자가 상용 LLM을 활용해 침투 후 행위를 자율적으로 결정하는 단계에 이른 것은 기존 보안 방어 체계에 대한 심각한 도전입니다.
이제 정적인 규칙 기반 탐지만으로는 한계가 명확하므로, 아웃바운드 AI API 통신에 대한 통제 및 모니터링 정책을 즉시 재정비해야 합니다.
조직의 위협 대응 거버넌스 전반에 AI 주도형 공격 시나리오를 신속히 반영하고, 이에 대응할 수 있는 지능형 보안 운용 역량을 확보하는 것이 시급합니다.