Çaldığı Verileri Yapay Zekâya Analiz Ettiren Zararlı Yazılım: VOLTA Ortaya Çıktı

Cisco Talos, çaldığı verileri büyük dil modellerine göndererek kurbanın hangi varlıklarının daha "değerli" olduğunu sıralatan yeni bir Windows zararlı yazılımı tespit etti. VOLTA-AUTODOXER adı verilen yazılım, 31 Ekim 2026'da yayımlanan raporda ayrıntılı olarak anlatıldı. Talos'a göre bu, yapay zekânın siber suçlularda veri çalmak için değil, çalınan veriyi analiz etmek için kullanıldığı dikkat çekici bir örnek.

VOLTA neleri çalıyor?

Talos araştırmacısı Ryan Fetterman'ın raporuna göre VOLTA, iz bırakmamak için kendini silen bir "bilgi hırsızı" (infostealer). Yazılımın hedeflediği veriler arasında şunlar var:

• Tarayıcılarda kayıtlı şifreler, çerezler ve kaydedilmiş kart bilgileri,
• Kripto cüzdan kurtarma ifadeleri,
• Discord, Telegram, Steam ve Roblox gibi hizmetlerin oturum anahtarları,
• Microsoft oturum anahtarları, SSH anahtarları ve bulut yapılandırmaları,
• Kayıtlı Wi-Fi şifreleri, ekran görüntüleri ve belgeler.

Yazılım, Chrome'un uygulamaya bağlı şifreleme korumasını tarayıcıyı arka planda "headless" modda çalıştırarak aşıyor.

Yapay zekâ nasıl devreye giriyor?

VOLTA, verileri topladıktan sonra isteğe bağlı bir yapay zekâ aşaması çalıştırıyor. Kurbana ait derlenmiş raporu, birçok yapay zekâ modeline tek noktadan erişim sağlayan OpenRouter hizmeti üzerinden bir dil modeline gönderiyor. Varsayılan model olarak Anthropic'in Claude Opus 4.6 modeli tanımlanmış. Model isteği reddettiğinde yazılım sırasıyla Moonshot AI'ın Kimi K2 ve Google'ın Gemini 2.5 Flash modellerine geçiyor.

Yazılım, modele kendisini "hedef değerlendirmesi hazırlayan bir adli istihbarat analisti" gibi tanıtıyor. İstenen çıktı iki bölümden oluşuyor: kurbanın varlıklarını düşük, orta ve yüksek değer kademelerine ayıran bir sıralama ve kurbanın güvenlik alışkanlıklarına dair bir değerlendirme. Yapılandırmada API anahtarı yoksa yapay zekâ aşaması tamamen atlanıyor.

Talos raporunda, gerçek bir saldırıda yapay zekâ çağrısının başarılı olup olmadığına ya da kaç kişinin etkilendiğine dair bilgi yer almıyor. Raporda OpenRouter, Anthropic, Moonshot AI veya Google'dan bir açıklama da bulunmuyor.

Raporda VOLTA'nın veri toplama sonrasında bazı ek adımlar da attığı anlatılıyor. Örneğin yazılım, kurbanın ev adresini doğrulamak için Gmail'deki sipariş ve fatura e-postalarını tarıyor. Çalınan veriler üç ayrı arşiv dosyası halinde dışarı aktarılıyor. Yazılım ayrıca neleri topladığını ve yapay zekâ çağrısının başarılı olup olmadığını kaydeden bir hata ayıklama dosyası oluşturuyor; Talos, bulaşma yaşayan kurumlara bu dosyayı incelemek için saklamalarını öneriyor.

Kimler kullanıyor?

Talos, VOLTA'nın bir "builder" ürünü olarak satıldığını ya da paylaşıldığını değerlendiriyor. Bu modelde yazılımın geliştiricisi, her müşteri için özel bir sürüm derliyor. Talos'a göre bu yapı, düşük teknik beceriye sahip saldırganların da aracı kullanabilmesine imkân tanıyor. İncelenen örnek ilk kez 11 Ekim 2026'da görüldü.

Nasıl korunulur?

Talos'un önerileri kurumlar ve bireysel kullanıcılar için şöyle özetlenebilir:

• Kurumlarda Chrome'u headless modda hangi işlemlerin başlatabileceğini kısıtlayın ve beklenmedik başlatmalar için uyarı kurun.
• Kimlik bilgilerini mümkünse donanım tabanlı güvenli depolarda saklayın.
• Bir bulaşma şüphesinde oturum anahtarlarını iptal edin ve şifreleri değiştirin.
• Kurtarma ifadesi düz metin olarak saklanmış kripto cüzdanlarını ele geçirilmiş kabul edin.

Neden önemli?

Bilgi hırsızı yazılımlar yeni değil; ancak VOLTA, saldırganların binlerce kurbanın verisini tek tek incelemek yerine bu işi yapay zekâya devretmeye çalıştığını gösteriyor. Bu da çalınan verilerin daha hızlı değerlendirilip hedefli dolandırıcılıkta kullanılması riskini artırıyor. Bilinmeyen kaynaklardan program indirmemek ve iki adımlı doğrulamayı açık tutmak, bu tür tehditlere karşı en temel savunma olmaya devam ediyor.