VOLTA Infostealer: AI 기반 피해자 우선순위 지정 및 프로파일링

VOLTA 인포스틸러는 단순한 데이터 유출에서 자율적인 AI 기반 피해자 프로파일링으로 전환되는 사이버 범죄의 중대한 변화를 나타냅니다. 이 악성코드는 LLM을 데이터 탈취 후 워크플로우에 직접 통합함으로써 자동화된 정보 분석가 역할을 수행하며, 원시 자격 증명 로그를 피해자의 자산 및 보안 상태에 대한 우선순위가 지정된 보고서로 변환합니다.

자동화된 피해자 평가

VOLTA는 브라우저 자격 증명, 암호화폐 지갑, 세션 토큰(Discord, Telegram, Steam, Roblox), 클라우드 제공업체 키를 포함한 광범위한 데이터를 탈취하기 위해 넓은 범위의 공격을 수행합니다. 데이터가 수집되면 악성코드는 정보를 구조화된 번들로 직렬화하고 OpenRouter API를 통해 LLM으로 전송합니다. 모델은 포렌식 분석가 역할을 하도록 지시받으며, 피해자의 자산을 수익화 가치별로 분류하고 전반적인 보안 위생을 평가하는 "가치 평가(WHAT THEY'RE WORTH)" 보고서를 생성합니다.

이 프로세스는 인적 노동을 대체하도록 설계되었습니다. 탈취된 데이터의 분류를 자동화함으로써 공격자는 모든 감염된 기기를 수동으로 검토할 필요 없이 고가치 타겟에 노력을 집중할 수 있습니다. 이 악성코드는 탈취된 세션을 사용하여 Gmail, UberEats, DoorDash와 같은 서비스에 쿼리를 보내 집 주소와 소비 습관을 확인하는 실시간 보강 작업까지 수행합니다.

탄력적인 다중 모델 아키텍처

분석이 모델의 가드레일을 우회하여 성공하도록 보장하기 위해 VOLTA는 정교한 장애 조치(failover) 메커니즘을 사용합니다. 이 악성코드는 기본적으로 Anthropic의 Claude-Opus 4.6을 사용하도록 하드코딩되어 있지만, 모델이 요청을 거부할 경우 Moonshot AI의 Kimi-k2 및 Google의 Gemini-2.5-flash를 포함한 대체 모델 체인을 통해 자동으로 전환됩니다.

이러한 다중 모델 접근 방식은 AI 안전 필터를 예측하고 우회하는 악성코드 개발의 진화하는 추세를 강조합니다. 낮은 온도 설정(0.2)을 사용하는 것은 결정론적이고 일관된 출력을 중시한다는 것을 나타내며, 생성된 보고서가 운영자가 사용하기에 신뢰할 수 있음을 보장합니다.

배포 및 대응 조치

VOLTA는 빌더 모델로 배포되며, 고객은 맞춤형 바이너리 생성기에 대한 액세스 권한을 구매합니다. 이를 통해 다양한 기술 수준의 운영자가 악성코드를 배포하고 Telegram 채널에서 직접 순위가 매겨진 피해자 평가를 받을 수 있습니다. 악성코드는 자체 삭제 기능을 갖추고 타사 인프라에 의존하기 때문에 호스트 기기에 최소한의 흔적만 남깁니다.

방어자는 엄격한 애플리케이션 제어 정책을 구현하여 VOLTA의 위험을 완화할 수 있습니다. 특히 App-Bound Encryption을 우회하는 데 흔히 사용되는 기술인 --headless 플래그를 사용하여 Chrome을 실행하는 프로세스를 제한하는 정책이 중요합니다. 침해가 의심되는 경우 보안 팀은 악성코드의 수집 및 AI 분석 활동 로그 역할을 하는 %APPDATA%\volta_debug.txt 파일을 확인해야 합니다.

업계 관점

VOLTA 발견을 둘러싼 커뮤니티 토론은 현대 사이버 위협의 속도와 복잡성에 대한 우려가 커지고 있음을 강조합니다. 댓글 작성자들은 악성코드에 AI를 통합하는 것이 사이버 범죄 운영의 진입 장벽을 크게 낮출 수 있다고 지적했습니다.

"이런 공격의 기회 창은 우리가 소프트웨어를 '개발'하는 속도만큼이나 넓어지는 것 같습니다. 컴퓨터를 5대나 따로 두고 싶어지네요... 10초 만에 당신의 디지털 삶 전체를 유출하는 위협으로부터 어떻게 안전을 유지할 수 있을까요?" — @akersten

다른 이들은 악의적인 맥락에서 자율 에이전트가 갖는 더 넓은 의미를 지적하며, 위협의 복잡성으로 인해 더 강력하고 세분화된 보안 아키텍처가 필요한 "바이러스 폭풍"의 시대에 진입하고 있다고 제안했습니다.