Cisco Talos, VOLTA Bilgi Hırsızının Büyük Dil Modeliyle Kurbanları Sıralama Aşamasını Ayrıntılandırıyor

Cisco Talos araştırmacısı Ryan Fetterman, 31 Ekim 2026’da VOLTA-AUTODOXER hakkında bir analiz yayımladı. Bu, geniş kapsamlı bir kimlik bilgisi hırsızlığı aşamasının ardından her kurbanın paraya çevrilebilir varlıklarını sıralamak üzere tasarlanmış bir büyük dil modeli aşaması çalıştıran, kendini silen bir Windows bilgi hırsızı.

Talos, VOLTA’yı isteğe bağlı bir yapay zekâ entegrasyonu katmanına sahip, gelişmiş bir bilgi hırsızı implantı olarak tanımlıyor ve gözlemlenen tüm uç noktaların saldırganın değil, üçüncü tarafların kontrolünde olduğunu belirtiyor. Talos’un değerlendirmesine göre yapay zekâ aşamasının yeniliği, modelin geleneksel bir kötü amaçlı yazılım yeteneğini desteklemek yerine operatör adına bir istihbarat analisti gibi çalışması; ham bir kimlik bilgisi kaydını, atıflarla desteklenen ve kurbanın paraya çevrilebilir varlıklarını öncelik sırasına koyan bir dosyaya dönüştürmesi.

Kötü amaçlı yazılım, Talos’un CAIRN araştırma çalışması kapsamında ortaya çıktı. Talos, temel ikili dosyaları indirmeden veya çalıştırmadan; gömülü istemler, sağlayıcı uç noktaları ve API anahtarları gibi üstveri izlerini kullanarak yapay zekâ entegreli kötü amaçlı yazılımları avlamak, sınıflandırmak ve izlemek için bir araç seti olan CAIRN’i (Cognitive Artifact Intelligence Research Network) 22 Eylül 2026’da yayımladı ve açık kaynak hâline getirdi. Talos, ilk bulgularını zaman içinde paylaşacağını duyururken, başlangıçta insan operatörü bulunmayan, tamamen otonom ve çok modelli bir uzlaşı düzenleyicisi olarak tanımladığı CLOSEDQUORUM implantını ele alacağını belirtti.

Veri Toplama ve Oturum Zenginleştirme

VOLTA, tek bir taramada Chromium tabanlı tarayıcılardaki kimlik bilgilerini, çerezleri ve kayıtlı ödeme kartlarını; ayrıca Firefox ve Thunderbird verilerini, Outlook profillerini, Slack çalışma alanlarını, Steam ve Battle.net oturumlarını, Discord belirteçlerini, Telegram oturumlarını, Roblox hesaplarını, Microsoft OAuth belirteçlerini, gcloud, OpenVPN ve Hide.me için SSH ve bulut sağlayıcısı yapılandırma dosyalarını, Wi-Fi profillerini ve ekran görüntülerini toplar. Bilgi hırsızı, kripto para cüzdanlarını yalnızca kopyalamak yerine aynı tarama sırasında cüzdan kasasına karşı gömülü bir parola kırma aracı çalıştırır ve sonucu kendi raporunda WALLET VAULTS CRACKED satırına kaydeder. Doğrudan yapılan bir WlanGetProfileList çağrısı, ana makinede kayıtlı tüm Wi-Fi parolalarını düz metin olarak döker.

Ardından gerçek zamanlı bir zenginleştirme taraması, çalınan oturumları yeniden kullanır. VOLTA, kurbanın kendi kimliği doğrulanmış Gmail belirteçleriyle ev adresini doğrulamak için gelen kutusunda Amazon, DoorDash, Uber Eats, Grubhub, Walmart ve PayPal makbuzlarını arar. Uber Eats ve DoorDash sipariş geçmişini doğrudan alır, çalınan belirteç üzerinden kurbanın Discord profilini zenginleştirir ve Rolimons.com’da gerçek zamanlı sorgulama yaparak Roblox envanterine değer biçer. Toplanan materyal; coğrafi konum ve ev adresini, işvereni ve işverenin alan adını, tahmini doğum yılını, kartın son 4 hanesini, Slack çalışma alanlarını, belge yazarlığı üstverilerini ve iPhone yedekleme göstergelerini içeren yapılandırılmış bir kanıt paketinde yerel olarak bir araya getirilir; ardından Identity_Report.txt olarak kaydedilir ve JSON biçiminde serileştirilir.

Modelin döndürdüğü değerlendirme AI_Analysis.txt dosyasına kaydedilir. Veri sızdırma, aşamalı olarak oluşturulan üç arşivde gerçekleşebilir: bilgi hırsızının çalışmasının ardından volta_log.zip, yapay zekâ çağrısından sonra volta_dox.zip ve ağ zenginleştirmesi herhangi bir veri üretirse volta_doxnet.zip.

OpenRouter Sıralama Aşaması

Serileştirilmiş paket, modele “hedef değerlendirmesi hazırlayan bir adli istihbarat analisti” gibi davranmasını söyleyen bir sistem istemiyle OpenRouter’ın chat-completions uç noktasına POST yöntemiyle gönderilir. İstenen çıktı; kurbanın değerli varlıklarını paraya çevrilebilirlik değerlerine göre düşük, orta ve yüksek düzeylerde sıralayan “DEĞERLERİ” bölümünü ve kurbanın güvenlik duruşu ile parola hijyenini değerlendiren “OPERASYONEL GÜVENLİĞİ” bölümünü içerir. İstem ayrıca modelin, kurbanın adını, adresini veya üniversitesini parolalarındaki örüntülerle ilişkilendirmek gibi, az sayıdaki veri noktasını birbirine bağlamasını teşvik eder. Talos, modelden veri bulmasının değil, daha önce toplanmış verilerin değerini artıracak çıkarımlar yapmasının istendiğini belirtiyor.

Sabit kodlanmış yapılandırmada varsayılan model olarak anthropic/claude-opus-4.6 kullanılıyor; yedek model zincirinde önce moonshotai/kimi-k2, ardından google/gemini-2.5-flash geliyor. Sıcaklık değeri 0,2 ve istekler SDK kullanılmadan elle oluşturulan JSON biçiminde, Mozilla/5.0 User-Agent ile gönderiliyor. Talos, düşük sıcaklık değerinin operatörün doğruluk ve tutarlılığa öncelik verdiğine işaret ettiğini söylüyor; art arda devreye giren model zincirini ise ret yanıtları alındığında daha küçük ve daha az kısıtlayıcı modellere geçiş olarak tanımlıyor.

VOLTA, üç modele kadar uzanan zincirde bir sonraki modele geçmeden önce her model yanıtında “Yapamam” gibi ret ifadeleri arar; API anahtarı yoksa büyük dil modeli aşamasını tamamen devre dışı bırakarak da çalışabilir. Çıkarımın tamamı, kurbanın kendi ağ bağlantısı üzerinden kurbanın makinesinde gerçekleştirilir; sonuç ancak bundan sonra dışarı aktarılır.

Yapılandırıcıyla Dağıtım ve Karşı Önlemler

VOLTA, Telegram kanalını, API anahtarlarını ve ayarlarını kod içine sabitlemek yerine, derleme sırasında doldurulan ve değiştirilebilen altı yuvalı bir şablondan derleniyor. Talos’a göre bu durum, geliştiricinin erişim sattığı, alıcıların kendi değerlerini sağladığı ve her sipariş için özel bir ikili dosyanın derlendiği bir oluşturucu modeline işaret ediyor. Analizde belirtildiği üzere, bu model geçerliyse yapay zekâ dosyası, geliştiricinin kişisel kullanımı için oluşturduğu bir yetenek değil; her düzeydeki müşterinin Telegram gelen kutusunda sıralanmış hedef değerlendirmeleri almasını sağlayan ticari bir özellik. Yuva kimlik bilgileri, aynı ikili dosyada bulunan iki sabitten türetilen SHA-256 anahtarıyla şifreleniyor. Talos’a göre bu, dosyayı tersine mühendislikle inceleyen herkesin kimlik bilgilerini elde edebilmesi nedeniyle anlamlı bir koruma sağlamıyor.

VOLTA’nın belirteç hırsızlığının büyük bölümü, Chrome’daki App-Bound Encryption özelliğinin aşılmasına dayanıyor. Talos, Chrome’u headless işaretiyle başlatabilecek süreçleri kısıtlayan bir uygulama denetimi politikasının bu şifre çözme yolunu tamamen kapatacağını belirtiyor. Talos, en azından Chrome beklenmeyen bir süreçten headless olarak başlatıldığında uyarı verilmesini ve kimlik bilgilerinin donanım destekli depolama kullanılarak saklanmasını öneriyor. Bir güvenlik ihlalinin ardından Talos, toplanan verileri ve LLM çağrısının başarılı olup olmadığını zaman damgalarıyla kaydeden volta_debug.txt dosyasının korunmasını, ardından güvenliği ihlal edilmiş olabilecek belirteçlerin iptal edilmesini ve parolaların değiştirilmesini tavsiye ediyor. Seed phrase’i diskte düz metin olarak bulunan her cüzdan tamamen ele geçirilmiş kabul edilmeli; varlıklar, seed’i ağ bağlantısı olmayan bir cihazda oluşturulan yeni bir cüzdana aktarılmalı.

Talos’un değerlendirmesine göre yapay zekâ katmanının getirdiği iyileşme hız veya ölçek artışı değil, gereken çabanın başka yere kaydırılması. Bu, Talos’un CLOSEDQUORUM’da belirlediği aynı temel mantığın operasyonun farklı bir aşamasına uygulanması. Analizde, kötü amaçlı yazılımlara yapay zekâ entegrasyonu olgunlaştıkça reddedilmelere dayanıklılığın standart bir tasarım gereksinimi hâline gelebileceği sonucuna varılıyor.

Talos, analiz edilen örneği SHA-256 özeti 57ef4242666d78c50df145b34023df564f0fad38812d6a580e66433d427e2279 olan bir PE32+ x86-64 ikili dosyası olarak listeliyor. Örnek, 9BY0tjwOc3ut.exe ve yLP9m5J3i2Aw.exe dosya adlarıyla gözlemlendi; PE zaman damgası 17 Ağustos 2026’yı, ilk görülme zamanı ise 11 Ekim 2026 saat 12:46 UTC’yi gösteriyor.