PROMPTFLUX — 제미나이 API로 자체 난독화·재작성하는 VBS 악성코드 분석

일반형 · 보안·위협분석

PROMPTFLUX — 제미나이 API로 자기 난독화·재작성하는 VBScript 악성코드 분석

최근 구글 위협 인텔리전스(GTIG)는 제미나이(Gemini) API를 호출해 실행 중인 비주얼베이직스크립트(VBScript)를 실시간으로 난독화·재작성하는 악성코드 PROMPTFLUX의 존재를 보고했습니다. 본문은 PROMPTFLUX의 동작 개요, 적합한 탐지 지표(IOC), 실무 대응(차단·포렌식·예방) 권고를 방어 관점에서 정리합니다.

요약 — 한 문장으로

PROMPTFLUX는 LLM(제미나이) API를 이용해 자신을 난독화·재작성하는 ‘저스트 인 타임(Just-in-Time) 자기변형’ 기능을 시범적으로 구현한 VBS 기반 악성코드로, 현재는 테스트·개발 단계로 평가되나 진화 가능성이 있어 사전 대비가 필요합니다.

동작 개요 (높은 수준)

1. 초기 침투: 기존 유포 루트(피싱, 원격 취약점 등)를 통해 시스템에 VBScript 형태의 악성 페이로드가 침투.
2. 원격 LLM 호출: 하드 코딩된(또는 외부에서 공급된) API 키로 제미나이 API에 주기적·선별적 요청을 전송.
3. LLM 응답 수신: 모델은 요청된 규격에 따라 난독화된 VBScript 코드(또는 코드 조각)를 반환.
4. 자체 교체·지속성 확보: 반환된 코드를 로컬에 저장(예: 시작 폴더), 기존 스크립트를 교체하거나 복사하여 지속성 확보 및 확산 시도.
5. 확산·유지: 이동식 드라이브나 네트워크 공유로 복사하여 전파를 시도하며, 일부 변종은 주기적 재작성 주기를 갖음.

GTIG는 현재 PROMPTFLUX의 ‘공격 실행’ 능력은 제한적이라고 평가했지만, “LLM을 통한 코드 변형” 자체가 탐지 회피 수단으로 의미가 크므로 주의가 필요하다고 경고합니다.

왜 위험한가?

• 동적·비예측성: 코드가 실행 중에 외부 모델로부터 재생성되면 기존 시그니처 기반 탐지의 효력이 떨어짐.
• 원격 의존성: 외부 LLM로부터 직접 코드를 받고 실행하므로 네트워크 기반 신호(특정 API 호출 패턴)를 통해 사전 탐지가 가능하지만, 암호화·프록시를 쓰면 탐지가 어렵게 됨.
• 확장성: 모듈화된 설계는 향후 실전용 악성 모듈(정보유출·랜섬 등)을 동적으로 결합할 수 있음.

실무적 탐지 지표(방어 관점, IOC 예시)

아래 항목들은 방어자가 모니터링해야 할 고수준 지표입니다. (구체적 악성 코드를 재현하거나 악용 가능한 기술적 상세(프롬프트 텍스트 등)는 제공하지 않습니다.)

• 비정상 외부 API 호출 — 내부 시스템(특히 서버·엔드포인트)이 주기적으로 LLM 엔드포인트(예: 제미나이 API 도메인)로 HTTPS 요청을 보내는지 모니터링.
• 의심스러운 프로세스/스크립트 활동 — Windows 시작 폴더, 사용자 프로필, 임시 디렉터리에 주기적으로 생성/교체되는 VBS/스크립트 파일 발생 여부.
• 파일 무결성 변조 — 정상 운영 시 변경되지 않는 스크립트 파일의 반복적 변경 이벤트(특히 동일 시간대 주기적 변경).
• 이상한 네트워크 흐름 — API 호출 후 이행되는 다운스트림 다운로드(ZIP, DLL 등)의 출처와 패턴. C2 행위와 결합될 가능성 있음.
• 권한 상승 흔적 — 시작 폴더·서비스 등록·정책(예: 방화벽/SELinux 등) 수정 기록.

탐지·대응 체크리스트 (우선 실행 항목)

1. 네트워크 차단: 의심 API 엔드포인트(외부 LLM 호출)를 알려진 목록으로 차단하거나 프록시·게이트웨이에서 로깅·검사 수행.
2. 엔드포인트 스캔: EDR/AV로 의심 VBS 파일(최근 수정된 파일) 스캔 및 해시 수집.
3. 파일 무결성 복원: 변경된 스크립트는 백업본으로 복원하고, 변경 로그를 보존해 포렌식 분석.
4. API 키·자격 증명 회수: 탐지된 환경에서 사용된 하드 코딩 API 키 또는 외부 자격증명 유무를 파악하고 필요시 회수·폐기.
5. 차단·격리: 의심 호스트는 네트워크에서 격리하고 메모리·디스크 이미지를 확보해 분석 수행.
6. 로그 보전: LLM 호출 로그(타임스탬프, 대상 도메인, 요청/응답 메타데이터), 프로세스·파일 변경 로그를 중앙 로깅 시스템에 보관.

포렌식·분석 시 주의점

• LLM 요청·응답의 원문(가능한 경우)을 확보하면 변형 패턴, 주기, 요청 방식 등을 파악하는 데 유용합니다. 단, 민감 정보(키·토큰)는 증거 보전 후 안전하게 취급해야 합니다.
• 응답에 포함된 코드 샘플 자체는 악성 코드 생성을 촉진할 수 있으므로, 분석은 격리된 환경(에어갭·샌드박스)에서 수행해야 합니다.
• 법적·규제적 고려: 외부 API 호출 로그 수집에는 개인정보·계약상 제약이 있을 수 있으니 보안·법무와 협의하세요.

예방 권고 (정책·구성 변경)

• 외부 API 접근 제어: 엔터프라이즈 네트워크에서 외부 LLM API로의 직접 통신을 제로트러스트 원칙으로 제한하고, 필요 시 중앙 프록시를 통해 허용·로깅.
• 자격증명 정책: 하드 코딩된 API 키 금지, 비밀 관리 시스템(예: Vault)을 통한 중앙 관리 및 회전 정책 적용.
• EDR/행위 기반 탐지: 스크립트 반복 변경, 시작 폴더·서비스 등록 시도, 비정상 권한 상승을 룰로 탐지하도록 EDR 정책 강화.
• 소프트웨어 허용 목록(allowlist): 통제되지 않은 스크립트 실행을 방지하기 위해 애플리케이션 화이트리스트 적용.
• 보안 교육: 개발자·운영자 대상으로 외부 LLM 호출의 위험성과 보안 모범사례 교육 시행.

결론

PROMPTFLUX 사례는 LLM·AI 도구가 악의적으로 사용될 가능성을 명확히 보여줍니다. 현재 이 위협은 주로 실험·개발 단계로 분류되지만, LLM 기반 자기변형 기법이 성숙하면 기존 시그니처 중심의 탐지는 무력화될 수 있습니다. 방어 조직은 네트워크 경계에서의 통제, 엔드포인트 행위 기반 탐지, 자격증명 관리 강화 및 포렌식 준비 태세를 우선적으로 갖춰야 합니다.

권고: 의심 환경에서 LLM 호출 로그 또는 의심 스크립트가 발견되면 즉시 호스트를 격리하고 중앙 로그·증거를 확보한 후 보안팀에 통보하십시오.