새로운 VOLTA 정보 탈취 악성코드, 피해자의 금전적 가치 평가에 Claude, Gemini, Kimi 인공지능 활용
2026년 11월 5일 · 읽는 시간 2분
사이버 보안 연구원들이 피해자가 도난당한 데이터의 수익화 가치에 따라 순위를 매기기 위해 대규모 언어 모델을 사용하는 새로운 Windows 정보 탈취 악성코드인 VOLTA-AUTODOXER, 즉 VOLTA를 발견했습니다.
VOLTA는 일반적인 정보 탈취 악성코드 제품군과 마찬가지로 Chromium 기반 웹 브라우저의 비밀번호와 쿠키, Outlook 프로필 및 Slack 워크스페이스의 데이터, 결제 카드, 암호화폐 지갑 시드 구문, Discord, Telegram, Steam, Roblox 세션, Microsoft OAuth 토큰, SSH 및 클라우드 제공업체 키, Wi-Fi 프로필, 스크린샷을 수집하도록 설계되었습니다.
이 악성코드는 지리적 위치, 집 주소, 고용주 및 고용주 도메인, 추정 출생 연도, 카드의 마지막 4자리 숫자, Slack 워크스페이스, 문서 작성자 메타데이터, iPhone 백업 표시, 실시간 Roblox 계정 가치 평가가 포함된 구조화된 증거 묶음을 생성합니다. 또한 도난당한 세션 액세스를 사용하여 피해자의 Gmail 계정에서 Amazon, DoorDash, Uber Eats, Grubhub, Walmart, PayPal과 관련된 이메일을 검색하여 집 주소를 확인합니다.
수집된 정보 묶음은 OpenRouter라는 통합 대규모 언어 모델 API 게이트웨이 및 라우팅 서비스를 통해 인공지능 시스템으로 전달됩니다. 요청은 기본적으로 Anthropic의 Claude Opus 4.6으로 전송되며, 실패할 경우 Moonshot AI의 Kimi K2와 Google의 Gemini 2.5 Flash로 순차적으로 전환됩니다. VOLTA는 모델이 거부 반응을 보일 경우를 대비해 최대 3개의 모델로 이어지는 다중 모델 구조를 사용합니다.
악성코드는 모델에게 포렌식 정보 분석가 역할을 맡기는 240단어 분량의 시스템 프롬프트를 사용합니다. 모델은 제공된 증거 묶음만을 사실 근거로 사용하여 수익화 가치에 따라 저, 중, 고 등급으로 분류한 가치 평가 섹션과 피해자의 보안 태세 및 비밀번호 위생 상태를 평가하는 보안 섹션이 포함된 보고서를 작성합니다.
데이터 유출은 세 단계에 걸쳐 Telegram을 통해 이루어집니다. 이 악성코드는 빌드 시점에 API 키와 Telegram 채널 등 6개의 슬롯을 채우는 템플릿을 사용하며, 이는 제작자가 빌더 키트를 판매하거나 주문 제작 도구로 운영하고 있을 가능성을 시사합니다.
한편 Cisco Talos는 공격자가 원격 액세스, 자격 증명 탈취, 키로깅, 방어 회피, 감시 및 랜섬웨어 기능을 제공하는 NIK C2라는 인공지능 기반 프레임워크에 대해서도 상세히 설명했습니다. NIK C2는 피해자의 환경 변수에서 OPENAI_API_KEY 문자열을 검색하여 피해자의 OpenAI API 키를 도용해 인공지능 분석 비용을 피해자가 부담하게 하는 LLMjacking 방식을 사용합니다.