Yeni VOLTA Bilgi Çalıcı, Kurbanları Finansal Değerlerine Göre Sıralamak İçin Yapay Zeka Modellerini Kullanıyor

Yeni VOLTA Bilgi Çalıcı, Kurbanları Finansal Değerlerine Göre Sıralamak İçin Yapay Zeka Modellerini Kullanıyor

Siber güvenlik araştırmacıları, kurbanların çalınan verilerini parasal değerlerine göre sıralamak için büyük dil modellerini (LLM) kullanan VOLTA-AUTODOXER (diğer adıyla VOLTA) adlı yeni bir Windows bilgi çalıcı kötü amaçlı yazılımı keşfetti.

Diğer tipik bilgi çalıcı aileleri gibi, VOLTA da Chromium tabanlı web tarayıcılarından parolaları ve çerezleri; Outlook profillerinden ve Slack çalışma alanlarından verileri; ödeme kartlarını; kripto para cüzdanı tohum ifadelerini; Discord, Telegram, Steam ve Roblox oturumlarını; Microsoft OAuth belirteçlerini; SSH ve bulut sağlayıcı anahtarlarını; Wi-Fi profillerini ve ekran görüntülerini toplamak üzere tasarlanmıştır.

Cisco Talos araştırmacısı Ryan Fetterman’ın belirttiğine göre, “VOLTA, makinenin arkasındaki kişi hakkında yapılandırılmış bir kanıt paketi oluşturur.” Bu paket, coğrafi konum ve ev adresi, işveren ve işveren alanı, tahmini doğum yılı, kartın son dört hanesi, Slack çalışma alanları, belge yazarlığı meta verileri, iPhone yedekleme göstergeleri ve canlı bir Roblox hesap değerlemesi içerir.

Bu bilgileri daha değerli hale getirmek için kötü amaçlı yazılım, çalınan oturum erişimini kullanarak kurbanın Gmail hesabını Amazon, DoorDash, Uber Eats, Grubhub, Walmart ve PayPal ile ilgili e-postaları çıkararak ev adresini doğrulamak için makbuzları arar.

Gerekli bilgiler toplandıktan sonra, paket serileştirilir ve OpenRouter (birleşik bir LLM API ağ geçidi ve yönlendirme hizmeti) ile birlikte bir sistem istemi kullanılarak analiz için bir yapay zeka (AI) sistemine beslenir. İstekler varsayılan olarak Anthropic’in Claude Opus 4.6’sına gönderilir; başarısız olursa Moonshot AI’nin Kimi K2’sine ve Google’ın Gemini 2.5 Flash’ına geri döner.

Talos, “VOLTA, bir modelin reddiyle karşılaşırsa esnek bir şekilde geri dönmek için çok modelli bir mimari kullanır ve ‘yapamam’ veya ‘yapamıyorum’ gibi ifadeler için her yanıtı kontrol eder, ardından üç modele kadar bir zincire geçer” dedi.

VOLTA’nın Yapay Zeka Destekli Değerleme Süreci

VOLTA, modele “adli istihbarat analisti” rolünü üstlenmesini ve yapılandırılmış bir kanıt paketinden elde edilen verilere dayanarak bir hedef değerlendirmesi hazırlamasını talimat veren 240 kelimelik bir sistem istemine sahiptir. İstemdeki bir satırda, “Paket, gerçeklerin TEK izin verilen kaynağıdır; eğitim bilginiz konu hakkında asla bir gerçek sağlamamalıdır” denilmektedir.

Talos, “Gerekli çıktı, düşük/orta/yüksek katmanlı parasallaştırmaya göre sıralanmış değerli eşyaları içeren ‘DEĞERLERİ’ başlıklı bir bölüm ve kurbanın güvenlik duruşu ile parola hijyeninin bir değerlendirmesini içeren ‘OPSEC’ başlıklı bir bölüm içerir” diye açıkladı. “Model, operatörün triyaj analistidir; ham bir kimlik bilgisi günlüğünü, kurbanın ve parasallaştırılabilir varlıklarının önceliklendirilmiş ve alıntı destekli bir dosyasına dönüştürür.”

Veri sızdırma, Telegram üzerinden üç farklı aşamada gerçekleşir:

• Bilgi çalıcı çalıştıktan hemen sonra, tarayıcı parolaları, çerezler, ödeme kartları, kripto para cüzdanları; Discord, Steam ve Roblox belirteçleri; Wi-Fi parolaları ve ekran görüntüleri hakkında ayrıntılar içerir.
• Yapay zeka çağrısından sonra, yakalanan verileri ve LLM analizinin sonuçlarını içerir.
• Canlı zenginleştirme adımından sonra, Gmail makbuzlarını ve sipariş geçmişlerini içerir.

Dahası, VOLTA, derleme sırasında doldurulan altı yuvayı içeren bir şablon kullanır. Bu, veri sızdırma için kullanılan Telegram kanalını, API anahtarlarını ve diğer ayarları içerir.

Bu yaklaşım, kötü amaçlı yazılım yazarının ya potansiyel müşterilere bir oluşturucu kiti reklamı yaptığını ya da her sipariş için özel bir ikili dosya derlemek üzere kendi kontrolü altında özel bir araç olarak işlettiğini düşündürmektedir.

Yapay Zekanın Siber Saldırılardaki Yükselişi

Talos, “VOLTA gerçekten ticarileştirilmiş bir kötü amaçlı yazılımsa, yapay zeka dosyası yeteneği yazarın kendi operasyonları için icat ettiği bir şey değildir” dedi. “Bu, herhangi bir karmaşıklık düzeyindeki bir müşterinin onu kurbanlara yönlendirmesini ve Telegram gelen kutularında sıralanmış hedef değerlendirmeleri almaya başlamasını sağlayan bir özelliktir.”

“VOLTA, tek bir amaç için eklenmiş geç aşama bir yapay zeka katmanına sahip olgun bir bilgi çalıcıdır: operatörü analitik iş yükünden kurtarmak. Buradaki yapay zeka iyileşmesinin ekseni hız veya ölçek değil, çaba yer değiştirmesidir.”

Bu açıklama, üretken yapay zekanın (GenAI) düşmanca benimsenmesinin hızla yeni normal haline geldiği bir zamanda geldi; tehdit aktörleri, özel araçlar geliştirmek veya değerli veriler bulmak için teknolojiyi iş akışlarına dahil ederek saldırılarının başarı olasılığını artırıyor.

Zscaler ThreatLabz, “GenAI teknolojileri, sınıflandırma veya içerik arama amacıyla büyük miktarda veriyi incelemek için de çok uygundur” dedi. “Bir saldırgan kurbanın sistemine eriştiğinde, GenAI bu nedenle kurbanın sisteminin erişebildiği tüm materyalleri aramak için kullanılabilir ve saldırının bir sonraki aşamasında hırsızlık veya şifreleme için en değerli veya hassas verileri arayabilir.”

Bir fidye yazılımı aktörü, bu yöntemi tehlikeye atılmış bir ağdan en hassas verileri tanımlamak ve elde etmek için kullanabilir, böylece kurbanın ödeme yapma olasılığını en üst düzeye çıkarır.

Geçen hafta Talos, saldırganlara uzaktan erişim, kimlik bilgisi hırsızlığı, tuş kaydedici, savunma atlatma, gözetim ve fidye yazılımı yetenekleri sağlayan ve ele geçirilmiş oturum içinde yapay zeka analizi için çalınan verileri göndermek üzere bir OpenAI istemcisini entegre eden NIK C2 adlı yapay zeka destekli bir çerçeveyi de detaylandırdı.

Go tabanlı bir Windows uzaktan erişim aracı olan NIK C2, ele geçirilmiş ana bilgisayarlar üzerinde kalıcı kontrol sağlar ve bir komuta ve kontrol (C2) sunucusu tarafından gönderilen 52’den fazla komutu destekleyerek geniş bir veri yelpazesi toplar.

OpenAI entegrasyonu, tehdit aktörünün yapay zeka destekli analizi yürütmek için kurbanın kendi OpenAI API anahtarını kötüye kullanabilmesi açısından dikkat çekicidir. Özellikle, kötü amaçlı yazılım, aktörün bir API anahtarı sağlayıp sağlamadığını kontrol eder. Bir anahtarın yokluğunda, kurbanın ortam değişkenlerini “OPENAI_API_KEY” dizesi için tarar ve onu kullanır.

Bu, kötü niyetli aktörlerin kendi operasyonlarını yürütmek için başka bir tarafın yapay zeka modeline erişimi çaldığı bir LLMjacking biçimidir – bu durumda kurbanın kendisine karşı – yasal sahibi ise hesaplama gücü için ödeme yapar. Ayrıca, saldırganın istekleri kimin yaptığını gizleyerek tespitten kaçınmasına olanak tanır.

Talos, “Bu geri dönüş, API anahtarı çözümü için bir yedekleme mekanizması değildir. Önemli operasyonel sonuçları olan kasıtlı bir tasarımdır” dedi. “Kurban makinesinde bir OpenAI hesabı yapılandırmışsa, bu hesabın API anahtarı aktörün yapay zeka çıkarımını finanse etmek için kullanılacaktır.”

Talos, “NIK C2, toplama ve istismarı tek bir sürekli oturuma dönüştürerek düşman ticaretini yeniden şekillendiriyor ve tarihsel olarak savunmacılara kritik tespit pencereleri sağlayan çevrimdışı işleme gecikmelerini etkili bir şekilde ortadan kaldırıyor” dedi.