Cisco Talos의 보안 연구원들은 훔친 물건을 대규모 언어 모델에 전달하고 한때 인간 범죄 분석가들이 했던 일, 즉 어떤 피해자를 추적할 가치가 있는지 알아내도록 요청하는 Windows Infostealer에 대해 자세히 설명했습니다. 자체 이름이 VOLTA-AUTODOXER인 이 악성 코드는 LLM 기반 피해자 프로파일링 단계를 사용하여 원시 자격 증명 로그를 시스템 뒤에 있는 사람들의 우선 순위가 지정된 서류로 변환합니다.

Talos 연구원 Ryan Fetterman이 10월 31일 발표한 분석에서 Talos가 VOLTA로 추적한 이 악성 코드는 선택적 AI 통합 계층을 갖춘 성숙한 스틸러 임플란트로 설명됩니다. VOLTA는 자격 증명, 브라우저 세션 및 암호화폐 지갑을 수집한 후 피해자에 대한 구조화된 증거 번들을 수집하고 법의학 분석가 역할을 하라는 지침과 함께 이를 LLM 제공업체에 게시합니다. 사이버 범죄에서 AI 남용이 향하고 있는 개발 신호는 피싱 텍스트 생성뿐만 아니라 자동화된 인텔리전스 작업입니다. 이와 같은 이야기를 지속적으로 보도하려면 최신 AI 개발을 참조하세요.

모든 것을 훔친 후 AI가 정리하도록 하세요

VOLTA는 CAIRN 연구 활동을 통해 처음 등장했으며 Talos는 이를 공격자가 소유한 인프라가 없는 자체 삭제 Windows Infostealer라고 설명합니다. 이러한 특성으로 인해 귀속하기가 더 어려워지고 중단되기가 더 어려워집니다. 수집 단계는 브라우저 비밀번호, 쿠키, 결제 카드 등 도둑질 표준에 의해서도 철저합니다. 암호화폐 지갑 시드 문구; Discord, Telegram, Steam 및 Roblox 세션 토큰; Microsoft OAuth 토큰 SSH 및 클라우드 제공자 키 Wi-Fi 프로필; 그리고 스크린샷.

참신함은 도난 이후부터 시작됩니다. VOLTA는 지리적 위치 및 집 주소, 고용주 및 고용주 도메인, 추정 생년월일, 결제 카드의 마지막 4자리 숫자, Slack 작업 공간, 문서 작성자 메타데이터, iPhone 백업 표시기, 피해자 Roblox 계정의 실시간 평가까지 포함하는 구조화된 증거 번들을 Talos가 구축합니다.

그런 다음 피해자가 훔친 세션을 사용하여 해당 번들을 강화합니다. Talos에 따르면 이 악성코드는 피해자의 Gmail에서 구매 영수증을 검색하여 집 주소를 확인하고 UberEats 및 DoorDash 주문 내역을 가져오며 훔친 토큰을 통해 Discord 계정을 강화합니다. 그 결과 거의 전적으로 자신이 로그인한 계정으로 모은 사람의 초상화가 탄생했습니다.

프롬프트: '법의학 정보 분석가로 활동'

조립된 번들은 직렬화되어 여러 모델 제공자에게 요청을 라우팅하는 서비스인 OpenRouter를 통해 액세스되는 LLM으로 전송됩니다. 시스템 프롬프트는 모델에게 "대상 평가 초안을 작성하는 법의학 정보 분석가" 역할을 하도록 지시합니다.

필요한 결과물은 놀랍도록 기업적입니다. 여기에는 피해자의 가치를 낮은 계층, 중간 계층, 높은 계층으로 수익 창출 가능성에 따라 순위를 매기는 "WHAT THEY'RE WORTH" 섹션과 피해자의 보안 상태 및 비밀번호 위생을 평가하는 "THEIR OPSEC" 섹션이 포함되어야 합니다. 이 모델은 효과적으로 운영자의 분류 분석가가 되어 범죄자에게 돈이 어디에 있는지 알려주는 인용 지원 서류를 생성합니다.

Talos는 또한 운영자가 AI 안전 가드레일을 중심으로 엔지니어링했다는 증거도 발견했습니다. 모델이 목표 평가 수행을 거부하면 VOLTA는 3개 모델 체인으로 장애를 넘겨 다음 모델을 시도합니다. 연구원은 이를 모델 거부에 대한 기대를 바탕으로 구축된 직접적인 엔지니어링 노력이라고 설명합니다. 악성 코드에서 복구된 AI 구성 프롬프트에는 다음과 같은 문체 지침도 포함되어 있습니다. "넓게 말고 깊게 가십시오... 무뚝뚝하고 구체적이며 정확해야 합니다."

중요한 이유

Talos는 혁신을 정확하게 구성합니다. 여기서 AI는 난독화 또는 유인 생성과 같은 기존 악성 코드 기능을 지원하지 않습니다. 운영자를 대신하여 정보분석가로 활동하고 있습니다. 회사는 사이버 범죄 세계로 이동하는 아이디어는 넓은 그물을 던져 모든 것을 훔치고 AI가 세부 사항을 정리하도록 하는 것이라고 썼습니다.

이는 이 악성 코드 계열을 넘어서는 의미를 갖습니다. Infostealer는 이미 범죄 경제의 많은 부분을 차지하고 있습니다. 로그는 대량으로 판매되고 구매자는 수동으로 이를 선택합니다. 모델 기반 분류 단계는 선별을 자동화하여 기술이 부족한 운영자가 대규모 도난에서 최대 가치를 추출하고 실제로 비용을 지불할 수 있는 피해자에게 갈취 또는 계정 탈취와 같은 후속 공격을 집중할 수 있도록 합니다.

모델 제공업체 및 라우팅 서비스의 경우 이 사례는 오용이 공개 채팅 인터페이스에만 국한되지 않는다는 점을 상기시켜줍니다. 리셀러 및 애그리게이터를 통한 API 기반 액세스는 범죄 도구를 위한 수익화 경로를 생성하며, VOLTA 운영자가 분명히 예상했던 거부 행위는 여전히 1차 방어선입니다.

사용자의 경우 실질적인 지침은 변함이 없지만 더욱 시급합니다. 전체 디지털 생활을 조사할 수 있는 인포스틸러에 대한 가장 안전한 방어는 고유한 비밀번호, 피싱 방지 다단계 인증, 신속한 브라우저 및 자격 증명 위생을 통해 애초에 액세스를 거부하는 것입니다.

Talos는 VOLTA가 성숙한 임플란트라고 말하며, 이는 AI 통합이 이미 한동안 야생에서 작동했을 수도 있음을 시사합니다. 이전의 도둑질 혁신과 마찬가지로 복제물과 모방자가 빠르게 뒤따르는 경향이 있습니다.

---

AI보다 앞서 나가세요

최신 AI 뉴스, 분석, 획기적인 소식을 모두 한 곳에서 받아보세요.

AI 뉴스 자세히 보기 →