VOLTA Stealer, kurbanları değerine göre sıralamak için LLM kullanıyor

Araştırmacılar, veri çalan VOLTA (VOLTA-AUTODOXER) adlı yeni bir zararlı yazılımı duyurdu. CAIRN araştırmasında tespit edilen araç, kurbanın finansal değerini belirlemek için büyük bir dil modelini devreye sokuyor. VOLTA, Windows için geliştirilmiş ve işini bitirince kendini silen bir stealer.

Ham kayıt yerine kurban dosyası

Zararlı önce olağan veri setini topluyor: tarayıcı parolaları, çerezler, ödeme kartları, kripto cüzdanı seed ifadeleri, Discord, Telegram, Steam ve Roblox oturumları, Microsoft OAuth belirteçleri, SSH ve bulut anahtarları, Wi-Fi profilleri ve ekran görüntüleri. Ardından cihaz sahibine dair yapılandırılmış bir paket oluşturuyor: konum ve ev adresi, işyeri, tahmini doğum yılı, kartın son dört hanesi, Slack çalışma alanları ve Roblox hesabının tahmini değeri.

Çalınan oturumlar sayesinde bu bilgiler zenginleştiriliyor. Program, adresi doğrulamak için kurbanın Gmail kutusunda makbuz arıyor, Uber Eats ve DoorDash sipariş geçmişini çekiyor, Discord hesabı üzerinden ek bilgi topluyor.

Paket, POST isteğiyle OpenRouter platformuna gönderiliyor. Sistem istemi modele hedefi değerlendiren bir analist gibi davranmasını söylüyor. Çıktıda varlıkları düşük, orta veya yüksek kazanç potansiyeline göre sınıflayan „WHAT THEY'RE WORTH” bölümü ile kurbanın güvenlik düzeyini ve parola kalitesini değerlendiren „THEIR OPSEC” bölümü yer alıyor. 0,2 olarak sabitlenen temperature değeri, tutarlılık ve doğruluk hedeflendiğini gösteriyor.

Reddedilirse model zinciri

Bir model analizi reddederse VOLTA üç modelden oluşan bir zincire geçiyor. Araştırmacılara göre bu, modellerin yerleşik koruma mekanizmalarının (guardrails) bilinçli olarak hesaba katıldığını gösteriyor. Yapay zekâ ile tüm etkileşim, veriler dışarı gönderilmeden önce kurbanın kendi cihazında ve kendi bağlantısı üzerinden gerçekleşiyor. Sonuçlar Identity_Report.txt ve AI_Analysis.txt dosyalarına yazılıyor, ikisi volta_dox.zip arşivinde saldırganlara iletiliyor.

Stealer, saldırganlara ait altyapı kullanmıyor. Cüzdan kasalarını kırmak için yerleşik bir araç içeriyor ve sonuçları „WALLET VAULTS CRACKED” bölümüne yazıyor. Telegram kanalı ve API anahtarları gibi ayarlar, derleme sırasında doldurulan altı alanlı bir şablonda tutuluyor; bu, yazarın erişim sattığı ve her sipariş için ayrı dosya üreten bir „builder” modeline işaret ediyor. Alanlar, dosyadaki iki sabitin SHA-256 özetiyle şifreleniyor, yani koruma şekli bir önlemden ibaret.