VOLTA 인포스틸러: 탈취한 정보를 AI로 분류하는 악성코드의 방어 지점

브라우저 세션과 클라우드 자격 증명을 훔친 뒤, 어떤 계정이 돈이 될지 언어 모델에 물어보는 악성코드가 분석됐다. Cisco Talos는 10월 31일 Windows 정보 탈취 프로그램 VOLTA-AUTODOXER의 구조를 공개했다. 연구진은 샘플의 기능을 분석했다. 실제 감염 규모나 모델이 현장에서 분석을 성공했는지는 밝히지 않았다.

탈취 후 AI가 맡는 일

Talos의 분석에 따르면 VOLTA는 브라우저 비밀번호와 쿠키, 세션, 암호화폐 지갑 정보뿐 아니라 SSH와 클라우드 설정 파일 등도 수집한다. 탈취한 세션을 이용해 이메일 영수증이나 계정 정보를 추가로 조회하는 기능도 분석됐다.

이후 수집 정보를 로컬에서 정리하고 선택적으로 OpenRouter를 통해 언어 모델에 전달한다. 모델은 정보를 수집하지 않는다. 이미 모은 자료에서 가치가 높은 자산과 피해자의 보안 상태를 평가해 달라는 요청을 받는다. 분석 결과가 정확한지, 실제 감염에서 요청이 성공했는지는 보고서만으로 알 수 없다.

응답 거부를 만났을 때의 설계

Talos가 분석한 샘플에는 Claude Opus 4.6이 기본 모델로 지정돼 있고, 응답에서 거부 표현을 감지하면 Kimi K2와 Gemini 2.5 Flash를 차례로 시도하는 구조가 들어 있다. API 키가 없으면 AI 단계를 생략하고 실행할 수도 있다. 이는 코드에서 확인한 설계이며, 각 모델의 안전장치가 실제로 실패했다는 증거는 아니다.

연구진은 실행 파일의 설정을 바꿔 넣는 슬롯을 근거로 판매형 빌더일 가능성을 제시했다. 이는 분석에 따른 추론이다. 작성자와 운영자, 배포 경로, 피해자 수는 원문에서 확인되지 않는다.

개발자가 확인할 방어 지점

개발용 PC에는 브라우저 로그인 상태와 저장소·클라우드 접근 정보가 함께 남기 쉽다. 감염이 의심되면 감염 기기에서의 비밀번호 변경에만 의존하지 말고, 신뢰할 수 있는 기기에서 관련 세션과 토큰을 폐기하고 자격 증명을 교체해야 한다. 클라우드와 저장소의 접근 기록도 확인해 범위를 조사한다.

Talos는 Chrome의 App-Bound Encryption 우회에 악용되는 headless 실행 경로를 통제하거나, 알려진 개발 작업이 아닌 프로세스가 해당 방식으로 Chrome을 실행하는지 경보를 설정하는 방안을 제시했다. 개발 도구와 자동화 테스트에서도 headless 브라우저를 쓰므로, 운영 환경에 맞게 허용 목록과 탐지 규칙을 시험해야 한다. 자격 증명은 가능한 한 하드웨어 기반 저장소에 보관하는 것이 좋다.

실행 파일이 스스로 삭제될 수 있으므로 사고 대응 시 Talos가 지목한 %APPDATA%\volta_debug.txt 기록을 보존하는 것도 도움이 될 수 있다. 이 기록에는 수집 및 모델 호출 결과가 남을 수 있다. 원문은 10월 11일 최초 관측된 샘플 하나의 식별 정보도 제공한다. 탐지 지표와 상세 기술 분석은 Cisco Talos 원문에서 확인할 수 있다.