인포스틸러 VOLTA, LLM으로 피해자 가치 평가

시스코 탈로스(Cisco Talos)⁠가 10월 31일(미국 시각) 윈도우용 정보 탈취 악성코드 VOLTA의 분석 보고서를 냈습니다. VOLTA는 계정 정보와 세션, 암호화폐 지갑을 훔친 뒤 그 자료를 LLM에 보내 피해자가 표적으로 얼마나 쓸모 있는지 평가하게 합니다. 탈로스는 이 단계에서 모델이 공격자의 선별 분석가 역할을 맡는다고 설명했습니다.

카드 끝 네 자리부터 집 주소까지

VOLTA가 가져가는 범위는 넓습니다. 크롬 계열 브라우저에 저장된 비밀번호와 쿠키, 결제 카드를 훑고 파이어폭스, 썬더버드, 아웃룩 프로필과 슬랙, 스팀, 배틀넷, 디스코드, 텔레그램, 로블록스 계정, 마이크로소프트 OAuth 토큰도 챙깁니다. 컴퓨터에 저장된 와이파이 비밀번호는 모두 평문으로 빼냅니다. 암호화폐 지갑은 복사로 끝내지 않고 안에 든 크래커로 잠금까지 풀어 봅니다. 훔친 지메일 세션으로는 아마존, 도어대시, 우버이츠 같은 곳의 영수증을 찾아 실제 집 주소를 확인합니다. 모은 자료는 위치와 집 주소, 직장, 추정 출생 연도, 카드 끝 네 자리 등을 담은 신상 보고서로 정리됩니다.

모델이 거절하면 다음 모델로

신상 보고서가 만들어지면 VOLTA는 오픈라우터(OpenRouter) API로 LLM을 부릅니다. 기본 모델은 anthropic/claude-opus-⁠4.6이고 응답에 “I can't” 같은 거절 문구가 보이면 moonshotai/kimi-k2, google/gemini-⁠2.5-flash 순서로 넘어가 최대 세 모델까지 시도합니다. 시스템 프롬프트는 모델에게 표적 평가서를 쓰는 포렌식 정보 분석가 역할을 줍니다. 결과물에는 돈으로 바꿀 수 있는 자산을 등급별로 늘어놓은 WHAT THEY'RE WORTH 항목과 피해자의 보안 습관을 평가한 THEIR OPSEC 항목이 들어갑니다. API 키가 없으면 AI 단계를 건너뛰고 나머지만 실행합니다.

주문받아 찍어 내는 빌더 구조

VOLTA에는 빌드할 때 값을 채워 넣는 슬롯 여섯 개가 있습니다. 탈로스는 이를 근거로 제작자가 접근권을 팔고 구매자가 자기 값을 넣으면 주문마다 다른 실행 파일을 만들어 주는 방식으로 봅니다. 관찰된 통신 대상은 모두 제3자 서비스였고 공격자가 직접 운영하는 서버는 없었습니다. 처음에 어떤 경로로 퍼지는지는 보고서에 나오지 않습니다.

탈로스가 제시한 방어와 사후 조치

탈로스는 어떤 프로세스가 크롬을 -⁠-⁠headless 옵션으로 띄울 수 있는지 앱 제어 정책으로 제한하면 VOLTA가 쓰는 크롬 암호 해제 경로를 막을 수 있다고 적었습니다. 이미 감염됐다면 %APPDATA% 아래 volta_debug.txt 파일을 보존해 무엇이 수집됐는지와 LLM 호출이 성공했는지를 확인합니다. 그다음 토큰을 폐기하고 비밀번호를 바꾸고 시드 문구를 평문으로 저장해 둔 지갑은 완전히 털린 것으로 보고 외부망과 분리된 기기에서 시드를 만든 새 지갑으로 자금을 옮기라고 탈로스는 권합니다. 보고서 끝에는 확인된 표본의 SHA-⁠256 해시와 실행 파일 이름 두 개가 실려 있습니다.