VOLTA bilgi hırsızı, kurbanlarını yapay zekâ modelleriyle değer sırasına koyuyor

Cisco Talos, 31 Ekim’de yayımladığı raporda, kendini “VOLTA-AUTODOXER” olarak adlandıran yeni bir Windows bilgi hırsızını (infostealer) anlattı. Talos’a göre VOLTA, bilgileri çaldıktan sonra kurban hakkında topladığı ayrıntıları bir büyük dil modeline (LLM) göndererek kurbanın varlıklarını para edebilme değerine göre sıralatıyor. Talos’a göre yazılımın ilk görüldüğü tarih 11 Ekim 2026. The Hacker News raporu 2 Kasım’da duyurdu.

Çalınan bilgiler

Talos’a göre VOLTA, Chromium tabanlı tarayıcılardaki parolaları, çerezleri ve kayıtlı ödeme kartlarını, Firefox ve Thunderbird verilerini, Outlook profillerini, Slack çalışma alanlarını, kripto para cüzdanlarının kurtarma ifadelerini, Discord, Telegram, Steam, Battle.net ve Roblox oturumlarını, Microsoft OAuth token’larını, SSH ve bulut sağlayıcısı anahtarlarını ve ekran görüntülerini topluyor. Yazılım, bilgisayarda kayıtlı bütün Wi-Fi parolalarını düz metin olarak çıkarıyor ve kripto cüzdan kasalarını içindeki bir parola kırıcıyla açmaya çalışıyor.

Talos’a göre VOLTA’yı sıradan bilgi hırsızlarından ayıran, bundan sonraki aşama. Yazılım, kurbanın konumunu ve ev adresini, işvereni ve işvereninin alan adını, tahmini doğum yılını, kartlarının son dört hanesini ve belgelerdeki yazar bilgilerini içeren bir dosya oluşturuyor. Ardından çaldığı oturumları kullanarak bu dosyayı zenginleştiriyor: kurbanın Gmail hesabında Amazon, DoorDash, Uber Eats, Grubhub, Walmart ve PayPal fişlerini arayarak ev adresini doğruluyor, Uber Eats ve DoorDash sipariş geçmişini çekiyor ve Roblox hesabının değerini bir dış site üzerinden hesaplıyor.

Yapay zekâ aşaması

Talos’a göre toplanan dosya, The Hacker News’in tanımıyla birden fazla modele tek noktadan erişim sağlayan bir LLM API hizmeti olan OpenRouter üzerinden varsayılan olarak Anthropic’in Claude Opus 4.6 modeline gönderiliyor. Yazılım modelin yanıtında “I can’t” ya da “I’m not able” gibi reddetme ifadeleri arıyor ve model reddederse önce Moonshot AI’ın Kimi K2 modeline, ardından Google’ın Gemini 2.5 Flash modeline geçiyor. Talos bunu, yazılımın geliştiricisinin modellerin güvenlik sınırlarına takılmayı beklediğinin işareti olarak görüyor. Talos’a göre yazılım, bir API anahtarı verilmemişse yapay zekâ aşaması olmadan da çalışabiliyor.

Talos’a göre yazılımın modele verdiği talimat, modelden “bir hedef değerlendirmesi hazırlayan adli istihbarat analisti” gibi davranmasını istiyor. İstenen çıktıda, kurbanın değerli varlıklarını para edebilme durumuna göre düşük, orta ve yüksek olarak sıralayan “WHAT THEY’RE WORTH” ve kurbanın güvenlik alışkanlıklarını ve parola düzenini değerlendiren “THEIR OPSEC” başlıklı bölümler var. Talos’a göre talimat, modelden kurbanın adı, adresi ya da üniversitesi ile parolaları arasında bağlantı kurmasını da istiyor.

Talos’a göre çalınan bilgiler üç aşamada dışarı gönderiliyor: bilgi hırsızlığından hemen sonra, yapay zekâ değerlendirmesinden sonra ve ağ üzerinden yapılan zenginleştirme bir sonuç verirse.

Satılan bir araç olabilir

Talos’a göre VOLTA, Telegram kanalı ve API anahtarları gibi ayarları koda gömmek yerine derleme sırasında doldurulan altı alanlı bir şablon kullanıyor. Talos bunu, yazılımın geliştiricisinin erişim sattığı ve her müşteri için ayrı bir dosya derlediği bir model olarak değerlendiriyor. Talos’a göre bu alanlardaki bilgiler şifreli, ancak anahtar aynı dosyadaki iki sabitten üretildiği için dosyayı inceleyen herkes bunları çözebiliyor. Talos’a göre yazılım kendini siliyor ve gözlemlenen bütün uç noktalar üçüncü taraflara ait, saldırgana ait bir altyapı yok.

Önerilen önlemler

Talos’a göre VOLTA’nın token çalma yeteneğinin büyük bölümü, Chrome’un uygulamaya bağlı şifrelemesini (App-Bound Encryption) atlatan tekniklere dayanıyor. Talos şunları öneriyor:

• Hangi süreçlerin Chrome’u --headless seçeneğiyle başlatabileceğini sınırlayan bir uygulama denetimi politikası bu yolu tamamen kapatıyor. En azından Chrome’un bilinen bir geliştirici sürecine ait olmayan bir süreç tarafından --headless ile başlatıldığı durumlar için uyarı kurulabilir.
• Kimlik bilgileri donanım destekli depolarda tutulmalı.
• Bulaşma durumunda ana dosya kendini silmiş olabilir, ancak %APPDATA%\volta_debug.txt dosyası korunmalı. Talos’a göre bu dosya, neyin toplandığını ve yapay zekâ çağrısının başarılı olup olmadığını gösteren zaman damgalı bir kayıt.
• Ele geçirilmiş olabilecek token’lar iptal edilmeli ve parolalar değiştirilmeli.
• Kurtarma ifadesi diskte düz metin olarak duran kripto cüzdanları tamamen ele geçirilmiş sayılmalı ve varlıklar, internete bağlı olmayan bir cihazda oluşturulmuş yeni bir kurtarma ifadesiyle açılan yeni bir cüzdana taşınmalı.