VOLTA 악성코드, 훔친 정보로 수익화할 자산을 LLM에 분류시켜

본문

Cisco Talos는 2026년 10월 31일 공개한 분석에서 VOLTA-AUTODOXER라는 Windows 정보 탈취 악성코드가 훔친 정보와 계정 자료를 LLM에 보내 수익화할 자산의 우선순위를 매긴다고 밝혔습니다. 모델은 자산을 낮음·중간·높음으로 분류하고 피해자의 보안 상태와 비밀번호 습관도 평가합니다. 등급은 피해자의 전체 재산이 아니라 탈취한 기록에서 돈으로 바꿀 만한 자산을 대상으로 합니다.

VOLTA는 브라우저에 저장된 비밀번호와 쿠키, 결제카드, 메신저·게임 계정 세션, SSH와 클라우드 자격 증명, Wi-Fi 비밀번호 등을 수집합니다. 이어 훔친 Gmail 인증 토큰으로 구매 영수증을 찾아 집 주소를 보강하고, Uber Eats와 DoorDash 주문 내역 및 Discord 계정 정보를 가져옵니다. Roblox 인벤토리 가치는 Rolimons 조회로 확인합니다.

수집·보강한 자료는 JSON으로 정리해 OpenRouter를 통해 모델에 전달합니다. 지시문은 돈이 될 만한 자산을 낮음·중간·높음으로 나눈 보고서와 피해자의 보안 상태, 비밀번호 습관에 대한 평가를 요구합니다. 자료 사이의 관계를 추론하고 근거를 인용하는 표적 평가 보고서를 만드는 방식입니다.

Talos가 분석한 설정에서 기본 모델은 Claude Opus 4.6입니다. 응답에 거부 문구가 있으면 Kimi K2와 Gemini 2.5 Flash로 차례로 넘기며, 최대 세 모델을 시도합니다. 모델 호출은 피해자의 기기와 네트워크 연결에서 이뤄지고 결과는 원자료와 함께 압축돼 유출됩니다. API 키가 없으면 LLM 분석 단계 없이도 정보 탈취 기능은 실행됩니다.

Talos는 이 AI 단계가 훔친 정보를 새로 모으기보다 운영자의 표적 분석 업무를 덜어준다고 설명합니다. 보고서에는 모델 평가의 정확도나 실제 범죄 수익에 미친 영향을 측정한 결과가 없습니다. 방어책으로 Talos는 허용된 개발 도구가 아닌 프로세스의 Chrome --headless 실행을 제한하거나 경고하라고 권고합니다. 감염이 의심되면 자가 삭제된 실행 파일 대신 수집 기록인 volta_debug.txt를 보존하고, 노출 가능성이 있는 토큰을 폐기한 뒤 비밀번호를 바꾸라고 안내합니다.

자료: Cisco Talos / 정리·해설: Trawling