VOLTA-AUTODOXER, kendini silen bir Windows kötü amaçlı yazılımı, kurban verilerini çalar ve bunları Anthropic'in Claude AI modeline ileterek varlıkları parasal değere göre sıralar, ardından kendini siler. Bu bilgi, Cisco'nun Talos araştırma kuruluşunun raporuna dayanmaktadır. Kötü amaçlı yazılım, hedef değerlendirmeleri oluşturmak için varsayılan olarak Claude Opus 4.6 kullanır ve birincil model isteği reddederse Kimi K2 ve Gemini 2.5 Flash'a geri dönüş seçenekleri vardır. VOLTA, yeniden satış için tasarlanmış bir ticari ürün olarak çalışır ve saldırganların kendi altyapılarını sürdürmeden Telegram üzerinden sıralanmış kurban profilleri almasına olanak tanıyan özelleştirilebilir yapılandırmalara sahiptir.
VOLTA Tarayıcı Verilerini ve Kripto Para Cüzdanlarını Çalar
VOLTA, enfekte sistemlerden tarayıcı şifrelerini, çerezleri ve kaydedilmiş ödeme kartlarını çıkarır. Kötü amaçlı yazılım, Thunderbird ve Outlook e-posta profillerini, Roblox hesaplarını, Microsoft OAuth jetonlarını, ekran görüntülerini ve SSH ile bulut sağlayıcı yapılandırma dosyalarını hedef alır. Her kaydedilmiş Wi-Fi şifresi düz metin olarak çekilir. Kripto para cüzdanları mevcut olduğunda, VOLTA bunların kasalarını kopyalamak yerine çevrimiçi olarak kırmaya çalışır.
Kötü Amaçlı Yazılım, Hedef Değerlendirmeleri Oluşturmak İçin Claude Kullanır
Kötü amaçlı yazılım, yapılandırılmış bir kanıt paketi oluşturur ve bunu "bir adli istihbarat analisti" olarak hareket etmesi ve "açık, spesifik, doğru" olması talimatıyla bir AI modeline gönderir. VOLTA, Şubat ayında piyasaya sürülen Claude Opus 4.6 modelini 0.2 sıcaklık ayarında kullanır. Düşük sıcaklık değeri, rastgelelikten ziyade öngörülebilir çıktıları önceliklendirir. Eğer Claude isteği reddederse, VOLTA Moonshot AI'nin Kimi K2'sine, ardından Google'ın Gemini 2.5 Flash'ına geçer. Kötü amaçlı yazılım, OpenRouter API anahtarı sağlanmadığı takdirde AI adımını tamamen atlayabilir.
VOLTA, Canlı Veri Zenginleştirmesi ile Kurban Dosyaları Oluşturur
Kötü amaçlı yazılım, kurban verilerini yerel olarak Identity_Report.txt olarak toplar ve bunu JSON formatına dönüştürür. Kanıt paketi, coğrafi konum ve ev adresi, işveren ve işveren alan adı, çıkarılan doğum yılı, belge yazarlığı meta verileri ve ödeme kartlarının son dört hanesini içerir. VOLTA, adresleri doğrulamak için Gmail'de Amazon, DoorDash, Uber Eats, Grubhub, Walmart ve PayPal'dan gelen makbuzları arar. Kötü amaçlı yazılım, Uber Eats ve DoorDash sipariş geçmişlerini çeker, çalınan Discord jetonlarını kullanarak kurban profillerini doldurur ve Roblox öğelerini Rolimons aracılığıyla değerlendirir. Çıkarma çağrısı, kurbanın kendi ağ bağlantısı üzerinden gerçekleşir.
Cisco Talos, Kötü Amaçlı Yazılım Tespit Yöntemlerini Rapor Ediyor
VOLTA, Telegram kanalları, API anahtarları ve yapılandırmalar için altı özelleştirilebilir slot ile yeniden satış ürünü olarak tasarlanmış gibi görünmektedir. Kötü amaçlı yazılım, Chrome'un Uygulama Bağlı Şifrelemesini, Chrome'u grafik arayüz olmadan başlatarak atlatır. Hangi süreçlerin Chrome'u başlatabileceğini sınırlayan bir uygulama kontrol politikası, bu şifre çözme yöntemini engeller. Enfeksiyondan sonra, ana çalıştırılabilir dosya kendini silebilir, ancak volta_debug.txt günlük dosyası toplanan verileri ve AI çağrısının başarılı olup olmadığını gösterir. Cisco Talos, kurbanların tüm API anahtarlarını ve jetonlarını iptal etmelerini, şifreleri değiştirmelerini ve kripto para fonlarını yeni cüzdanlara, hava boşluğu olan cihazlarda oluşturulan yeni kurtarma ifadeleri ile taşımalarını önermektedir.
SSS
VOLTA-AUTODOXER kötü amaçlı yazılımı verileri çaldıktan sonra ne yapar?
VOLTA-AUTODOXER, çalınan verileri Anthropic'in Claude AI modeline gönderir ve kurbanın varlıklarını parasal değere göre sıralayan bir hedef değerlendirmesi oluşturur. Kötü amaçlı yazılım daha sonra verileri ve AI analizini Telegram üzerinden dışarı aktarır ve ardından enfekte sistemden kendini siler.
VOLTA kötü amaçlı yazılımı hangi AI modellerini kullanır?
VOLTA, varsayılan olarak Şubat ayında piyasaya sürülen Claude Opus 4.6'yı kullanır. Eğer Claude isteği reddederse, kötü amaçlı yazılım Moonshot AI'nin Kimi K2'sine, ardından Google'ın Gemini 2.5 Flash'ına geçer. Kötü amaçlı yazılım, AI analizi olmadan çalışabilir eğer OpenRouter API anahtarı sağlanmazsa.
