VOLTA zararlısı çaldığı verileri yapay zekâya verip kurbanın 'değerini' sıralatıyor

İçindekiler · 4 bölüm

1. Ne çalıyor?
2. Yapay zekâ ne yapıyor?
3. Satılık bir ürün gibi görünüyor
4. Ne yapılabilir?

Cisco’nun siber güvenlik araştırma birimi Talos, kendini “VOLTA-AUTODOXER” diye adlandıran yeni bir Windows bilgi hırsızını inceledi. Talos’un 31 Ekim tarihli blog yazısına göre zararlı, klasik veri hırsızlığının ardından bir dil modeline başvurarak kurbanı değerlendiriyor ve çalıntı verilerin hangisinin paraya çevrilmeye değer olduğunu sıralatıyor. Çalışma bittiğinde kendini siliyor.

Ne çalıyor?

Talos’a göre VOLTA tarayıcı parolaları, çerezler ve kayıtlı ödeme kartlarını, Firefox, Thunderbird ve Outlook profillerini, Discord, Telegram, Steam ve Roblox oturumlarını, Microsoft OAuth jetonlarını, SSH ve bulut sağlayıcı yapılandırma dosyalarını, kayıtlı Wi-Fi parolalarını ve ekran görüntülerini topluyor. Kripto cüzdanlarını yalnızca kopyalamıyor; cüzdan kasasını kendi içinde kırmayı da deniyor.

Asıl farkı, bundan sonraki aşamada yaratıyor. Zararlı; konum ve ev adresi, işveren, tahmini doğum yılı, kart numaralarının son dört hanesi ve belge üst verilerinden bir “kanıt paketi” hazırlıyor. Çalıntı oturumları kullanarak Gmail’de Amazon, DoorDash, Uber Eats, Grubhub, Walmart ve PayPal fişlerini arıyor, ev adresini doğruluyor, sipariş geçmişini çekiyor.

Yapay zekâ ne yapıyor?

Paket, OpenRouter üzerinden bir dil modeline gönderiliyor. Talos’un aktardığına göre istem, modelden “hedef değerlendirmesi hazırlayan bir adli istihbarat analisti” gibi davranmasını istiyor. Çıktıda, varlıkları paraya çevrilebilirliğine göre düşük, orta ve yüksek diye sıralayan bir bölüm ile kurbanın güvenlik alışkanlıklarını ve parola hijyenini değerlendiren ikinci bir bölüm bulunuyor.

Tom’s Hardware’in aktardığına göre varsayılan model Anthropic’in Claude Opus 4.6’sı. Model yanıtı reddederse VOLTA, yanıttaki ret ifadelerini yakalayıp sırayla Moonshot AI’ın Kimi K2’sine ve Google’ın Gemini 2.5 Flash’ına geçiyor. Talos, düşük sıcaklık değerinin (0,2) operatörün tutarlı çıktı istediğini gösterdiğini belirtiyor.

Satılık bir ürün gibi görünüyor

Zararlının Telegram kanalı, API anahtarları ve ayarlar için altı değiştirilebilir alan içeren bir şablonu var. Talos’a göre bu, yapımcının erişimi sattığını ve her müşteri için ayrı bir dosya derlediğini düşündürüyor. Bu durumda yapay zekâ ile profil çıkarma özelliği, deneyimsiz saldırganların da kullanabileceği hazır bir yetenek haline geliyor.

Ne yapılabilir?

Tom’s Hardware’e göre enfeksiyon şüphesi olan kişilerin tüm API anahtarlarını ve jetonları yenilemesi, parolaları değiştirmesi gerekiyor. Düz metin kurtarma ifadesi saklanan cüzdanlardaki varlıklar yeni bir cüzdana taşınmalı. Chrome’un uygulamaya bağlı şifrelemesini aşmak için tarayıcıyı arayüzsüz başlatan zararlıya karşı, Chrome’un bu biçimde başlatılmasını sınırlayan uygulama denetimi ilkeleri bu yolu kapatıyor; ancak diğer hırsızlık ve yapay zekâ aşamasını engellemiyor.