VOLTA-AUTODOXER, Claude'u kullanarak çalınan verilerdeki değerli varlıkları sıralayan bir Windows zararlısı

Cisco Talos, çalınan kimlik bilgilerini bir dil modeline gönderip izleme yapılabilir varlıkların öncelik listesini çıkaran VOLTA-AUTODOXER adlı bir bilgi hırsızını ortaya çıkardı.

Cisco Talos, VOLTA-AUTODOXER adını verdiği bir Windows bilgi hırsızını tanımladı. Zararlı, kurbanın kimlik bilgilerini, oturumlarını, cüzdanlarını ve kişisel bilgilerini toplayıp bunları barındırılan bir dil modeline gönderiyor ve modelden monetize edilebilir varlıkların sıralı bir listesini istiyor.

Varsayılan olarak Anthropic'in Claude Opus 4.6 modeli OpenRouter ağ geçidi üzerinden kullanılıyor. Model bir isteği reddettiğinde zararlı Moonshot AI'ın Kimi K2 ve Google'ın Gemini 2.5 Flash modellerine geçiyor; her yanıt reddetme ifadelerine karşı kontrol edilip en fazla üç modelden oluşan bir zincir denenebiliyor.

Model çağrısından önce zararlı, çalınan Gmail oturumlarıyla perakendeci ve ödeme hizmetlerinden gelen makbuzları arayarak kurbanın ev adresini doğruluyor ve profili zenginleştiriyor. Modelden istenen çıktı, değerli eşyaları monetizasyon kademesine göre sıralayan bir 'WHAT THEY'RE WORTH' bölümü ile güvenlik durumunu değerlendiren bir 'THEIR OPSEC' bölümü içeriyor.

Araştırmacılar, şablonun altı alanının derleme sırasında doldurulduğunu ve zararlının bir satış kiti olarak ya da her sipariş için özel olarak üretilmiş olabileceğini belirtiyor. Çalınan veriler Telegram'a üç aşamada gönderiliyor: ilk toplamadan sonra, model çağrısından sonra ve canlı zenginleştirmeden sonra.

Araştırmacılara göre tasarım, bir saldırganın elle yapacağı analitik işi yapay zekânın üstlendiğini gösteriyor. Uygulama kontrolüyle headless Chrome başlatmalarını engellemek, zararlının Chrome'da saklanan oturumlara erişimini kesiyor; ancak diğer hırsızlık yöntemlerini, yapay zekâ aşamasını ve veri sızdırmayı durdurmuyor.