Volta zararlı yazılımı Gmail fişlerinizi tarıyor ve değerinizi yapay zekâya biçtiriyor

Yeni belgelenen bir Windows kötü amaçlı yazılımı, çaldığı verileri bir yapay zekâ sohbet botuna veriyor ve az önce soyduğu kişi hakkında yazılı bir değerlendirme istiyor. Volta-Autodoxer adlı yazılım; kayıtlı parolaları, çerezleri, ödeme kartlarını ve kripto cüzdanlarını ele geçiriyor, ardından “ne kadar ettiklerini” sıralaması talimatıyla bir büyük dil modeline dosya gönderiyor. Hayatı tarayıcı üzerinden dönen herkes için bu, çalınmış giriş bilgilerinden oluşan bir yığını, önce kimin soyulacağına dair bir listeye dönüştürüyor.

Araştırma, yapay zekâ modellerini kullanan korsanlık araçlarını yakalamak için geliştirdiği yeni bir çerçeveyle bu zararlı yazılımı tespit eden Cisco Talos’tan geliyor; konuyu ilk olarak Wired haberleştirdi. Hırsızlığın kendisi tanıdık. İkinci aşama ise değil. Volta, kurbanın çalınmış oturumlarını kullanarak ev adresini doğrulamak için Gmail’de Amazon, DoorDash, Uber Eats, Grubhub, Walmart ve PayPal makbuzlarını arıyor; yemek teslimatı sipariş geçmişini çekiyor, kurbanın Discord profilini dolduruyor, hatta canlı sorgulama yaparak Roblox envanterindeki eşyaların değerini belirliyor.

Bütün bunlar, çok sayıda yapay zekâ sağlayıcısına istemleri ileten OpenRouter hizmeti üzerinden gönderilen, düzenli biçimde yapılandırılmış bir kanıt dosyasında toplanıyor. Varsayılan model, Anthropic’in Claude Opus 4.6’sı. Yaklaşık 240 kelimelik istemde model, “hedef değerlendirmesi hazırlayan adli istihbarat analisti” rolüne sokuluyor ve kurbanın ne kadar ettiğini anlatan bir bölüm hazırlaması isteniyor. Bu bölümde değerli varlıklar paraya ne kadar kolay çevrilebileceklerine göre sıralanıyor; bir başka bölümdeyse kurbanın güvenlik alışkanlıkları değerlendiriliyor. Modelden, örneğin bir Wi-Fi parolasının soyadıyla aynı olduğunu fark ederek “farklı alanlardaki ipuçlarını birleştirmesi” ve “genişe değil, derine inmesi” isteniyor.

Yazılımın arkasındakiler bazı sohbet botlarının isteği reddedeceğini öngörmüş. Volta, her yanıtı “yapamam” ya da “bunu yapabilecek durumda değilim” gibi ifadelere karşı tarıyor; ret yanıtı gelirse önce Moonshot AI’ın açık ağırlıklı Kimi K2 modeline, ardından Google’ın Gemini 2.5 Flash’ına yeniden başvuruyor. Analizin arkasındaki Talos araştırmacısı Ryan Fetterman, Wired’a şöyle konuştu: “İstem, açıkça kötü niyetli bir şey ima etmeyecek şekilde oldukça dikkatli hazırlanmış. Ancak ilk istekte modelin talebi reddetmesi ihtimalini de hesaba katıyorlar.”

Suçlular açısından getirisi hız. Oturum belirteçlerinin süresi doluyor, insanlar parolalarını değiştiriyor; bu nedenle hangi kurbanın dolu bir kripto cüzdanına ya da şirketin bulut sistemine erişim anahtarına sahip olduğunu ilk çözen kişi, bunları kullanma fırsatını yakalıyor. Fetterman, “Daha düşük teknik beceri düzeyindeki saldırganların daha gelişmiş yeteneklere erişebildiğini görüyoruz,” dedi. Talos ayrıca Volta’nın bir ürün gibi tasarlandığını da saptadı: Her kopyada, alıcının kendi Telegram kanalı ve API anahtarları için altı alan bulunuyor; bunlar dosya derlenirken dolduruluyor. Bu da aracı başka suçlulara satan bir yazara işaret ediyor. Alıcılar da sıralanmış hedef raporlarını doğrudan Telegram gelen kutularında alıyor.

Ancak alarmın da sınırları var. Talos, Volta’nın gerçek kurbanlara karşı kullanılıp kullanılmadığını takip etmediğini söylüyor; ayrıca yapay zekâ aşaması isteğe bağlı. API anahtarı olmasa da zararlı yazılım her şeyi çalıyor, yalnızca dosya hazırlama adımını atlıyor. Temelinde alışıldık bir Windows bilgi hırsızı var; dolayısıyla standart korunma yöntemleri hâlâ işe yarıyor. Makbuzları kontrol ettiği mağazaların neredeyse tamamı Amerikan; bu da yazılımı geliştirenlerin kimi hedeflediğine dair ipucu veriyor. Yine de çalınmış parolalar ve cüzdanlar dünyanın her yerinde aynı değerde.

Saldırıya uğrayanlar için Talos’un tavsiyesi net: Etkin oturumları ve belirteçleri iptal edin, parolalarınızı değiştirin. Kurtarma ifadesi bilgisayarda düz metin hâlinde bir dosyada bulunan kripto cüzdanını kayıp kabul edin; varlıkları, daha önce hiç internete bağlanmamış bir cihazda oluşturduğunuz yeni bir cüzdana aktarın. Bilgi hırsızları çoğu zaman korsan ya da sahte yazılımların içine gizleniyor; bu yüzden en ucuz korunma yöntemi, böyle yazılımları çalıştırmamak.

Talos, analizini 31 Ekim’de, yapay zekâ özellikleri bulunan bir başka suç aracını, NIK C2’yi anlattıktan iki gün sonra yayımladı. CrowdStrike araştırmacıları kısa süre önce Wired’a, Çince, İspanyolca ve İngilizce, Endonezce ve Rusça çalışan dört korsanlık grubunun dünya çapında onlarca hedefe karşı yapay zekâ araçları kullandığını gördüklerini söyledi.

Talos’a göre savunma ekiplerinin yanıt aradığı açık soru, bir suç operasyonunun hangi parçasının sırada bir modele devredileceği. Volta’da bu, eskiden oturup kimin soyulacağına karar veren kişinin yaptığı işti.

Etiketler: siber güvenlik, Claude, Gemini, OpenRouter, Cisco Talos, Kimi K2