Yeni VOLTA bilgi hırsızı kurbanları verilerinin parasal değerine göre sıralıyor

VOLTA adlı yeni belgelenen bir Windows bilgi hırsızı, her kurbanın çalınan verilerini ne kadar paraya çevrilebileceğine göre notlandırmak için ticari büyük dil modellerini kullanıyor. Cisco Talos'un araştırmasına dayanan bu bulguları The Hacker News 2 Kasım 2026'da aktardı. Rapora göre VOLTA, çaldığını olduğu gibi döken sıradan kimlik hırsızlarının aksine ham yağmayı bir analiz katmanıyla işliyor; Talos araştırmacısı Ryan Fetterman bunu makinenin ardındaki kişi hakkında yapılandırılmış bir istihbarat dosyası olarak tanımladı.

Neler oldu?

The Hacker News'in Talos'tan aktardığına göre VOLTA (VOLTA-AUTODOXER olarak da izleniyor), virüslü bir Windows sisteminden alışıldık veri yelpazesini topluyor: Chromium tabanlı tarayıcılardan parola ve çerezler, Outlook profilleri, Slack çalışma alanları, ödeme kartları, kripto cüzdan tohum ifadeleri ve Discord, Telegram, Steam ile Roblox oturumları. Rapora göre zararlı ayrıca Microsoft OAuth belirteçlerini, SSH anahtarlarını, bulut sağlayıcı anahtarlarını, Wi-Fi profillerini ve ekran görüntülerini de topluyor.

Yapay zekâ katmanı nasıl çalışıyor?

Talos'a göre toplanan veriler serileştirilip OpenRouter servisi üzerinden, modeli bir adli istihbarat analisti gibi hedef değerlendirmesi yazmaya yönlendiren yaklaşık 240 kelimelik bir sistem komutuyla gönderiliyor. İstekler öncelikle Anthropic'in Claude Opus 4.6 modeline gidiyor; model reddederse VOLTA, yanıttaki "yapamam" gibi ifadeleri tespit edip Moonshot AI'nın Kimi K2 ve ardından Google'ın Gemini 2.5 Flash modeline geçiyor ve en fazla üç modeli zincirliyor. Rapora göre istenen çıktı, kurbanın değerli varlıklarını düşük, orta ve yüksek olarak sıralayan bir bölüm ile güvenlik alışkanlıklarını ve parola hijyenini değerlendiren ayrı bir bölüm içeriyor.

The Hacker News, VOLTA'nın çaldığı oturum erişimini kullanarak kurbanın Gmail hesabında Amazon, DoorDash, Uber Eats ve PayPal gibi servislerden gelen makbuzları aradığını ve bunları ev adresini doğrulamak için kullandığını ekliyor. Talos'a göre ortaya çıkan profil; konum, işveren ve alan adı, tahmini doğum yılı, kartın son dört hanesi ve canlı bir Roblox hesap değerlemesi içerebiliyor.

Kimler etkileniyor?

Rapor belirli hedef, sektör veya bölge adı vermiyor ve herhangi bir ihlal göstergesi (IOC) listelemiyor. Talos'a göre veriler saldırgana Telegram üzerinden üç aşamada sızdırılıyor: zararlı çalışır çalışmaz, yapay zekâ analizinden sonra ve Gmail zenginleştirmesinin ardından. Talos, zararlı yazarının ya bir derleme kiti sattığını ya da her sipariş için özel bir ikili dosya derlediğini, Telegram kanalı ve API anahtarları gibi ayarlar için derleme sırasında doldurulan altı yuvalı bir şablon bulunduğunu belirtiyor.

Ne yapmalı?

Talos gelişmenin önemini hız veya ölçek değil, emek tasarrufu olarak çerçeveliyor: Yapay zekâ, saldırganın normalde elle yapacağı triyaj işini üstleniyor ve Talos'a göre bu, her beceri düzeyinden alıcının hazır kurban değerlendirmeleri almasına yol açabilir. Rapor somut gösterge vermediği için savunmacılar standart bilgi hırsızı hijyenine güvenmeli: Uç nokta koruması kullanmak, OpenRouter ve Telegram gibi servislere giden bilinmeyen dışa bağlantıları engellemek ve ihlal şüphesi olan her makinede kimlik bilgilerini, tarayıcı oturumlarını ve cüzdan anahtarlarını yenilemek.