VOLTA Adlı Kötü Amaçlı Yazılım, Kurbanları Değerlendirmek İçin Büyük Dil Modellerini Kullanıyor

a group of people standing next to each other — Robynne O / Unsplash

Araştırmacılar, çaldığı verileri değerlendirmek ve kurbanların finansal potansiyelini sıralamak amacıyla yapay zeka entegrasyonuna sahip VOLTA adlı yeni bir veri hırsızlığı aracını ortaya çıkardı. Bu kötü amaçlı yazılım, geleneksel kimlik bilgisi hırsızlığının ötesine geçerek, topladığı ham verileri büyük dil modellerine gönderen ve bu modelleri bir saldırı analisti gibi davranmaya zorlayan özgün bir yöntem izlemektedir. Sistem, elde edilen bilgilerin monetizasyon değerine göre kurbanları sınıflandırarak saldırı operatörlerine önceliklendirilmiş bir hedef listesi sunmaktadır.

VOLTA, çalıştığı cihazdan son derece kapsamlı bir veri paketi toplamaktadır. Tarayıcı şifreleri, çerezler, ödeme kartı bilgileri, kripto para cüzdanı tohum ifadeleri, Discord, Telegram, Steam ve Roblox oturum verileri, Microsoft OAuth belirteçleri, SSH anahtarları ve bulut hizmet yapılandırmaları gibi standart verilerin yanı sıra; Wi-Fi profilleri, ekran görüntüleri, coğrafi konum bilgileri, ev adresleri ve iş yeri alan adları gibi hassas kişisel bilgileri de ele geçirmektedir. Yazılım, ayrıca Slack çalışma alanları, belge yazarlık meta verileri, iPhone yedekleme varlığı işaretleri ve Roblox hesaplarının tahmini piyasa değeri gibi detayları da yapılandırılmış bir dosya halinde derlemektedir.

Toplanan veriler işlendikten sonra, saldırı zincirinin en kritik aşaması devreye girmektedir. VOLTA, serileştirdiği veri paketini OpenRouter platformuna bir POST isteği üzerinden göndermektedir. Bu aşamada kullanılan sistem istemi, yapay zeka modelinden bir "hedef veri analisti" olarak hareket etmesini ve kurbanın değerini belirleyen bir rapor oluşturmasını talep etmektedir. Modelden beklenen çıktı, varlıkların düşük, orta veya yüksek potansiyel olarak sınıflandırıldığı bir "Değer" bölümü ve kurbanın güvenlik önlemleri ile şifre kalitesini inceleyen bir "Güvenlik" bölümü içermektedir. Bu süreç, ham günlük kayıtlarını, kaynaklara dayalı ve önceliklendirilmiş istihbarat dosyalarına dönüştürmektedir.

Saldırganlar, yapay zeka modellerinin yerleşik güvenlik kısıtlamaları nedeniyle değerlendirmeyi reddetme ihtimaline karşı özel bir mühendislik yaklaşımı benimsemiştir. Eğer ilk model talebi yerine getirmezse, VOLTA otomatik olarak üç farklı alternatif modelden oluşan bir zincire geçiş yapmaktadır. Bu kademeli yapı, operatörlerin model reddini öngördüğünü ve daha az kısıtlayıcı modellere yönelerek süreci garanti altına aldığını göstermektedir. Ayrıca, metin üretimindeki rastgeleliği belirleyen "sıcaklık" parametresi sıfır virgül iki gibi düşük ve sabit bir değere ayarlanmıştır. Bu tercih, saldırı operatörünün sonuçlarda tutarlılık ve yüksek doğruluk aradığını kanıtlamaktadır.

VOLTA, sadece veri çalmakla kalmayıp, çalınan oturum belirteçlerini kullanarak veri paketini daha da zenginleştirmektedir. Örneğin, kurbanın Gmail hesabındaki satın alma faturalarını tarayarak ev adresini doğrulamakta, UberEats ve DoorDash gibi servislerden sipariş geçmişini çıkarmakta ve Discord hesapları üzerinden ek istihbarat toplamaktadır. Chromium tabanlı tarayıcıların yanı sıra Firefox ve Thunderbird profillerine, Outlook verilerine, Battle.net oturumlarına ve gcloud, OpenVPN, Hide.me gibi bulut servislerinin yapılandırma dosyalarına da saldırmaktadır. Kripto para cüzdanları konusunda ise basit bir kopyalama işlemi yerine, yerleşik bir kırma aracı kullanarak cüzdan kasalarına erişmekte ve bu başarıları raporunda "Kırılan Cüzdan Kasaları" başlığı altında listelemektedir.

İşletim sistemi olarak Windows'u hedef alan ve VOLTA-AUTODOXER olarak da adlandırılan bu tehdit, işini tamamladıktan sonra kendi kendini silme özelliğine sahiptir. Bu özellik, kötü amaçlı yazılımın izlerini silerek tespit edilmesini zorlaştırmaktadır. Ayrıca yazılım, veri aktarımı veya komuta kontrolü için saldırganlara ait doğrudan bir altyapı kullanmamaktadır. Yapay zeka entegrasyonu, kötü amaçlı yazılımın geleneksel işlevlerini sadece tamamlamakla kalmayıp, saldırı operatörü adına çalışan otonom bir analist rolü üstlenmesini sağlamaktadır. Bu durum, siber tehditlerin veri hırsızlığından akıllı veri analizine doğru evrildiğine dair güçlü bir işaret olarak değerlendirilmektedir.