시스코 탈로스, AI로 피해자 자산 순위 매기는 악성코드 분석
VOLTA-AUTODOXER는 OpenRouter를 통해 앤스로픽 Claude Opus 4.6에 침해 데이터를 보내 순위표를 만들고, 실패하면 Kimi K2와 Gemini 2.5 Flash로 넘어간다.
시스코 탈로스 연구진이 피해자의 자산을 AI 모델로 평가해 순위를 매기는 윈도우 인포스틸러 VOLTA-AUTODOXER를 분석했다고 tomshardware.com이 보도했다. 이 악성코드는 탈취한 데이터를 AI 모델에 보내 피해자에 대한 '표적 평가'를 생성하고 스스로 삭제되는 기능을 갖췄다.
악성코드는 OpenRouter를 통해 평가를 요청하며, 기본 모델은 앤스로픽의 Claude Opus 4.6이고 temperature는 0.2로 설정돼 있다. 모델이 거부하거나 빈약한 답변을 내놓으면 Moonshot AI의 Kimi K2로, 그다음에는 구글의 Gemini 2.5 Flash로 전환한다.
VOLTA는 훔친 정보를 로컬에서 Identity_Report.txt와 JSON 묶음으로 구성하고, AI 응답은 AI_Analysis.txt로 저장한 뒤 두 파일을 volta_dox.zip 아카이브로 함께 유출한다. 수집 항목에는 브라우저 비밀번호와 쿠키, 결제 카드, 이메일 프로필, Discord 토큰, OAuth 토큰, SSH 및 클라우드 설정 파일, 평문으로 저장된 Wi-Fi 비밀번호가 포함된다. 또한 피해자의 Gmail에서 Amazon, DoorDash, Uber Eats, Grubhub, Walmart, PayPal 영수증을 검색하고, 로블록스 아이템 가치는 Rolimons를 통해 산정한다.
탈로스는 페이로드에 Telegram 채널, API 키, 설정값을 채우는 6개의 교체 가능한 슬롯이 있는 템플릿이 있어 재판매용으로 만들어진 것으로 보고 있다. 아울러 VOLTA는 Chrome을 헤드리스 모드로 실행해 Chrome의 App-Bound Encryption을 우회하며, 헤드리스 Chrome을 제한하는 애플리케이션 제어 정책으로 이를 차단할 수 있다고 밝혔다.
OpenRouter API 키가 없어도 악성코드는 AI 분석 없이 Telegram으로 수집 정보를 전송할 수 있다. 탈로스는 피해자에게 volta_debug.txt 로그를 보존하고 모든 API 키와 토큰을 폐기하거나 교체하라고 권고했다.
한눈에 보기
VOLTA-AUTODOXER는 어떤 AI 모델을 사용하나?
OpenRouter를 통해 기본적으로 앤스로픽의 Claude Opus 4.6을 temperature 0.2로 호출하며, 거부되면 Moonshot AI의 Kimi K2, 그다음 구글의 Gemini 2.5 Flash로 전환한다.
VOLTA-AUTODOXER는 어떤 정보를 훔치나?
브라우저 비밀번호와 쿠키, 결제 카드, 이메일 프로필, Discord 토큰, OAuth 토큰, SSH 및 클라우드 설정 파일, 평문 Wi-Fi 비밀번호를 수집하고, Gmail에서 Amazon, DoorDash, Uber Eats, Grubhub, Walmart, PayPal 영수증을 검색한다.
VOLTA-AUTODOXER 감염 시 권고되는 조치는?
탈로스는 volta_debug.txt 로그를 보존하고 모든 API 키와 토큰을 폐기하거나 교체하라고 권고했다.