VOLTA 악성코드, LLM으로 피해자 자산 가치 평가

연구진이 AI 연동 모듈을 갖춘 정보 탈취 악성코드 VOLTA(정식 명칭 VOLTA-AUTODOXER)의 세부 내용을 공개했다. CAIRN 조사에서 확인된 이 악성코드는 계정 정보, 세션 토큰, 암호화폐 지갑 정보를 수집한 뒤 구조화된 데이터 묶음으로 만들어 대규모 언어모델(LLM)에 전달하고, 피해자 자산에서 얻을 수 있는 금전적 이익을 평가하게 한다.

탈취 범위와 정보 보강

VOLTA는 Windows용으로, Chromium 기반 브라우저의 비밀번호·쿠키·결제 카드뿐 아니라 Firefox, Thunderbird, Outlook, Slack, Steam, Discord, Telegram, Roblox, SSH 키, 클라우드 설정도 노린다. Wi-Fi 비밀번호는 평문으로 저장하며, 내장 도구로 지갑 보관소를 해독해 결과를 「WALLET VAULTS CRACKED」 항목에 기록한다.

훔친 세션으로 정보를 추가 보강하기도 한다. Gmail에서 각종 서비스의 영수증을 찾아 집 주소를 확인하고, Uber Eats와 DoorDash의 주문 내역을 가져오며, Discord 토큰으로 프로필 정보를 모으고, Rolimons 조회로 Roblox 인벤토리 가치를 산출한다.

LLM이 분석가 역할

수집된 데이터는 JSON으로 변환돼 시스템 프롬프트와 함께 OpenRouter에 POST 방식으로 전송된다. 모델은 표적을 평가하는 분석가 역할을 맡아 「WHAT THEY'RE WORTH」 항목에서 자산을 수익화 가능성에 따라 낮음·중간·높음으로 분류하고, 「THEIR OPSEC」 항목에서 피해자의 보안 수준과 비밀번호 품질을 평가한다. temperature는 0.2로 고정돼 정확성과 일관성을 중시한 것으로 보인다.

모델이 평가를 거부하면 VOLTA는 다른 모델 3개로 이어지는 체인으로 전환한다. 연구진은 가드레일을 염두에 둔 설계라고 분석했다. 결과는 AI_Analysis.txt에 저장되고 volta_dox.zip으로 묶여 공격자에게 전송된다. AI와의 통신은 피해자 자신의 네트워크 연결로 이뤄지며, 이 악성코드는 자가 삭제 기능이 있고 공격자 소유 인프라를 쓰지 않는다.

Telegram 채널 주소와 API 키는 코드에 직접 넣지 않고 치환 필드 6개가 있는 템플릿으로 채운다. 빌더 방식의 판매 모델로 추정된다.