Cisco Talos, LLM reddetmelerine göre kurgulanmış VOLTA infostealer'ın üç modelli yedekleme zincirini ayrıntılarıyla anlattı

Kurbanlarını notlayan bir stealer

Cisco Talos, VOLTA adlı Windows infostealer'ın analizini yayımladı. Bu zararlı yazılım, kurbanın hesaplarını boşalttıktan sonra alışılmadık bir adım atıyor: ele geçirdiği her şeyi bir büyük dil modeline devrediyor ve bu kişinin ne kadar değerli ve ne kadar dikkatsiz olduğu konusunda yazılı bir değerlendirme istiyor. 31 Ekim'de yayımlanan Talos raporuna göre, incelenen örnek ilk kez 11 Ekim 2026'da görüldü ve kendi kodunda kendini "VOLTA-AUTODOXER" olarak etiketliyor.

Hırsızlık tarafı gelenekseldi. Talos'a göre VOLTA; tarayıcı parolalarını, çerezleri ve ödeme kartlarını, kripto para cüzdanı seed ifadelerini, Discord, Telegram, Steam ve Roblox oturumlarını, Microsoft OAuth token'larını, SSH ve bulut anahtarlarını, düz metne dönüştürülmüş Wi-Fi profillerini ve ekran görüntülerini ele geçirirken, gömülü bir kırıcı çalınan cüzdan kasalarını aynı anda çözmeye çalışıyor. Ardından ele geçirilen verileri kurbanın kendi gelen kutusuyla zenginleştiriyor — Gmail'deki Amazon, PayPal ve çeşitli yemek dağıtım servislerinden gelen makbuzları okuyarak ev adresini doğruluyor — ve Rolimons servisi üzerinden bir Roblox envanterini fiyatlıyor.

Reddetmelere dayanacak şekilde kurulmuş bir model zinciri

Asıl yenilikçi aşama hırsızlığın ardından geliyor. Talos'a göre zararlı yazılım her şeyi bir kimlik raporunda topluyor, JSON olarak serileştiriyor ve modele hedefi yazan bir adli analisti canlandırma talimatı veren bir system prompt ile OpenRouter'a gönderiyor. İstenen yanıt, kurbanın değerli eşyalarını para kazanma potansiyeline göre sıralamak ve güvenlik alışkanlıklarını eleştirmek zorunda. Çıktı girdinin yanında saklanıyor ve her iki dosya da birlikte makineden çıkarken, çıkarım gidiş-dönüşü kurbanın kendi donanımında ve bağlantısında çalışıyor.

Dikkat çeken ayrıntı model listesi. İstekler varsayılan olarak anthropic/claude-opus-4.6'a gidiyor, ardından moonshotai/kimi-k2'ye ve sonra google/gemini-2.5-flash'a düşüyor; sabit kodlanmış 0.2 sıcaklık değeri, elle oluşturulmuş JSON ve bir Mozilla user agent kullanılıyor. Bir yanıt geldiğinde VOLTA, onu "I can't" veya "I'm not able" gibi kısa reddetme işaretleri için tarıyor ve bir eşleşme bulursa sıradaki modele geçiyor. Talos bunu bilinçli bir mühendislik olarak okuyor: yazarlar, sağlayıcıların talebi reddedeceğini varsaymış ve zararlı yazılımı, biri kabul edene kadar aramaya devam edecek şekilde yapılandırmış. Veri sızdırma en fazla üç dalgada gerçekleşebiliyor — hırsızlıktan sonra, AI çağrısından sonra ve ağ üzerinden zenginleştirme bir şey ürettiyse bir kez daha.

Kaba bir dedektör yeterliydi

dev.to'daki bağımsız bir yazı, reddetme kontrolünü alıntılandığı haliyle uyguladı — bu iki ifade için büyük-küçük harfe duyarsız bir alt dizgi araması — ve yazarın kendisinin yazdığı, yarısı gerçek reddetme yarısı uyum sağlama olan 24 yanıtta test etti. Kontrol, on iki reddetmenin altısını yakaladı ve dört uyum yanıtını yanlışlıkla işaretledi: yüzde 50 geri çağırma, yüzde 60 hassasiyet. Başka bir şekilde ifade edilen reddetmeler dokunulmadan geçerken, ifadenin yalnızca olağan kullanımda bulunduğu uyumlu yanıtlar da ret olarak yanlış okundu. Yazar makul bir uyarı ekliyor: Talos "bu tür ifadeler" diyor, dolayısıyla dağıtılan binary daha fazla dizi kontrol ediyor olabilir ve puan yalnızca yayımlanan haliyle dedektörü ölçüyor. Daha geniş sonuç ne olursa olsun geçerli — mekanizma kaba bir alt dizgi kontrolü ve gemiye almak için bu yeterliydi.

Kapsam sınırları ve savunmalar

Talos, bulgunun ne olmadığı konusunda dikkatli. AI aşaması isteğe bağlı; yapılandırılmış bir API anahtarı yoksa VOLTA bu aşamayı atlıyor ve zaten her şeyi çalıyor. Örnek, altı değiştirilebilir yuvaya sahip bir şablondan inşa edilmiş gibi görünüyor ve gizlemesi, aynı binary içindeki iki sabitin SHA-256 hash'lerine indirgeniyor. Saldırgana ait hiçbir altyapı bulunamadı — her uç nokta üçüncü taraflara ait. Ayrıca Talos, VOLTA'yı gerçek saldırılarda gözlemlemiş değil, bir kurban sayısı yok ve canlı bir ele geçirme sırasında bir modelin gerçekten dosyayı ürettiği bir vakayı raporlamıyor.

Savunmacılar için Talos'un karşı önlemi ucuz: hangi süreçlerin Chrome'u headless modunda başlatabileceğini kontrol eden bir politika, token hırsızlığının dayandığı App-Bound Encryption bypass'ını engelliyor. Temizlik yapan herkes, zararlı yazılımın %APPDATA% içine bıraktığı zaman damgalı hata ayıklama günlüğünü korumalı; bu günlük neyin alındığını ve LLM çağrısının başarılı olup olmadığını kaydediyor. Ardından token'lar iptal edilmeli ve parolalar değiştirilmeli.

Neden önemli

Bu bir salgın değil, bir tasarım gözetimi. Suç yazılımı, tanıdık bir kurumsal alışkanlığı — sağlayıcı yedekliliğini — benimsedi ve model reddetmelerine uygulayarak bir sağlayıcıdan gelen "hayır"ı bir karar yerine bir yönlendirme olayı olarak ele aldı. Talos, reddetmeye dayanıklılığın zararlı yazılımda çaba kaydırmanın olduğu gibi standart bir gereksinim haline gelebileceğini öngörüyor. Bu gerçekleşirse, her bir aggregator arayüzü arkasındaki modelin guardrail kalitesi saldırı yüzeyinin bir parçası haline geliyor ve bir uç noktadan ayrılan olağandışı çıkarım trafiği, izlemeye değer bir tespit sinyali oluyor.