악성코드가 LLM으로 피해자를 "가치"로 순위 매긴다

핵심 요약

• VOLTA라는 자체 삭제형 윈도우 정보탈취 악성코드가 비밀번호, 결제카드, 암호화폐 지갑, 이메일, 우버이츠·도어대시 주문 기록 등을 수집한 뒤 구조화된 데이터 묶음을 LLM에 전송한다.
• LLM은 '포렌식 정보분석가' 역할로 피해자의 자산을 화폐화 가능성별로 저/중/고 등급으로 순위 매기고 보안 태세를 평가한 '목표 평가 보고서'를 생성한다.
• VOLTA는 OpenRouter를 통해 기본값으로 Claude Opus 4.6을 사용하며, 거절 시 Kimi-K2와 Gemini 2.5 Flash로 차례로 폴백하는 3단계 체인을 갖춘다.
• 생성된 Gmail 검색으로 거주지 확인, 도어대시·우버이츠 주문 내역 조회, Discord 계정 정보 수집 등 피해자의 도용된 세션으로 데이터를 추가로 보강한다.
• 온라인 게임 로블록스 계산기를 통해 계정 자산을 실시간 평가하고, 저장된 모든 와이파이 비밀번호를 평문으로 추출한다.
• 말웨어는 빌더 모델로 배포되며 텔레그램 채널과 API 키 같은 설정을 빌드 타임에 6개 슬롯에 채워서 커스텀 바이너리를 생성한다.
• 타사 제어 엔드포인트만 사용되며 공격자 소유 인프라가 없다.
• 온도 설정값이 0.2로 낮아 일관성 있는 출력을 강조하며, 시스템 프롬프트는 '분산된 데이터 사이의 연결고리를 찾기'를 요청한다.
• Chrome의 앱 바운드 암호화 우회 기법을 사용하며, --headless 플래그로 실행되는 Chrome 프로세스를 통제하면 차단 가능하다.
• VOLTA는 분석 작업을 자동화해 운영자의 노력을 줄이는 것이 핵심이며, 모델 거절에 대비한 폴백 체인이 악성코드에 표준 설계 요소가 될 것으로 예상된다.