VOLTA Infostealer, Çalınan Kurban Varlıklarını Sıralamak İçin LLM Kullanıyor

VOLTA-AUTODOXER; kimlik bilgilerini, oturumları, kripto para cüzdanlarını ve diğer sistem verilerini toplayan, ardından kurbanın varlıklarını parasal değerlerine göre sıralamak için yapılandırılmış bir kanıt paketini büyük bir dil modeline gönderen kendini silen bir Windows bilgi çalan yazılımdır. Zararlı yazılım, bir model hedef değerlendirmesini reddederse çok modelli bir yedek zinciri kullanır. Arkasında saldırgana ait bir altyapı yoktur.

VOLTA Neler Topluyor

Tek bir geçişte VOLTA, Chromium tabanlı tarayıcılarda tarayıcı kimlik bilgilerini, çerezleri ve kaydedilmiş ödeme kartlarını çıkarabilir. Ayrıca Firefox, Thunderbird, Outlook profilleri, Slack çalışma alanları, Steam ve Battle.net oturumları, Discord token'ları, Telegram oturumları, Roblox hesapları, SSH ve bulut sağlayıcısı yapılandırma dosyaları, Wi-Fi parolaları ve ekran görüntüleri hedef alır. Kripto para cüzdanı kasalarına karşı gömülü bir kırıcıyı satır içi çalıştırır ve sonucu raporuna kaydeder.

Yapay Zeka Destekli Kurban Profilleme

Toplamadan sonra VOLTA; coğrafi konum, ev adresi, işveren ve işverenin alan adı, çıkarılmış doğum yılı, kartın son dört hanesi, Slack çalışma alanları, belge yazarlık üst verileri, iPhone yedek göstergeleri ve canlı Roblox hesap değerlendirmesini içeren yapılandırılmış bir kanıt paketi oluşturur. Bu paketi çalınan oturumlarla zenginleştirir; bunlar arasında Gmail satın alma makbuzları, Uber Eats ve DoorDash sipariş geçmişi, Discord profil verileri ve Roblox envanter değerlendirmesi bulunur. Paket JSON olarak serileştirilir ve modelden adli istihbarat analisti gibi davranıp hedef değerlendirmesi taslağı hazırlamasını isteyen bir sistem istemi altında OpenRouter'a gönderilir. Gerekli çıktı; varlıkları parasallaştırmaya göre düşük, orta ve yüksek katmanlara sıralayan bir bölümün yanı sıra kurbanın güvenlik duruşu ve parola hijyeni değerlendirmesini içerir.

Model Yedekleme ve Veri Sızdırma

Varsayılan model anthropic/claude-opus-4.6'dır; yedek olarak moonshotai/kimi-k2 ve ardından google/gemini-2.5-flash kullanılır. VOLTA, yanıtları reddetme ifadeleri için denetler ve 0.2 değerinde sabit kodlanmış bir sıcaklık kullanır. Çıkarım, sonuçlar dışa aktarılmadan önce kurbanın kendi ağ bağlantısı üzerinden çalışır. Çıktı dosyaları, toplama ve zenginleştirme sonuçlarına bağlı olarak volta_log.zip, volta_dox.zip ve volta_doxnet.zip içerebilir.

Karşı Önlemler

Savunmacılar, App-Bound Encryption bypass yolunu engellemek için hangi süreçlerin Chrome'u --headless ile başlatabileceğini kısıtlayabilir. Ele geçirilme şüphesi varsa kullanıcılar APPDATA%\volta_debug.txt dosyasını korumalı, potansiyel olarak ele geçirilmiş token'ları iptal etmeli, parolaları değiştirmeli ve düz metin kurtarma ifadesi içeren herhangi bir cüzdanı tamamen ele geçirilmiş saymalıdır.

Kaynaklar: blog.talosintelligence.com