악성코드 VOLTA, AI로 피해자 '값어치' 매긴다

시스코 탈로스(Cisco Talos)는 10월 31일(현지시간) 윈도우용 정보탈취 악성코드 'VOLTA'가 피해자별 신상 보고서를 상용 AI 모델에 보내 훔친 정보의 값어치를 매기게 한다고 분석 보고서에서 밝혔다. 이 악성코드는 오픈라우터(OpenRouter)를 거쳐 기본으로 앤트로픽의 Claude Opus 4.6에 요청을 보내고, 거절당하면 문샷AI의 Kimi K2, 구글의 Gemini 2.5 Flash로 차례로 바꾼다.

핵심 정리

• VOLTA는 LLM에 피해자 자산의 현금화 순위('WHAT THEY'RE WORTH')와 보안 습관 평가('THEIR OPSEC')를 쓰게 한다.
• 거절 문구를 감지하면 최대 세 모델까지 바꿔 요청한다. 탈로스는 이런 설계가 "표준 설계 요건이 될 수 있다"고 봤다.
• 스스로 삭제되고 공격자 소유 서버가 없어 차단할 네트워크 지표가 거의 없다.

VOLTA 악성코드, 무엇을 훔치나

탈로스 연구원 라이언 페터먼(Ryan Fetterman)에 따르면 VOLTA('VOLTA-AUTODOXER')는 64비트 윈도우 실행 파일이다. 브라우저 비밀번호·쿠키·결제 카드, 디스코드·텔레그램·스팀·로블록스 세션, 마이크로소프트 OAuth 토큰, SSH·클라우드 키, 와이파이 비밀번호, 암호화폐 지갑 시드 문구까지 가져간다.

이어 신상 보고서를 만든다. 훔친 세션으로 지메일에서 아마존·도어대시·우버이츠·그럽허브·월마트·페이팔 영수증을 찾아 집 주소를 확인하고, 배달 주문 내역과 로블록스 아이템 시세도 조회한다. 직장·추정 출생 연도·카드 끝 네 자리도 담긴다.

AI에 '이 사람 얼마짜리냐' 묻는 방식

보고서는 오픈라우터 API로 전송된다. 시스템 프롬프트는 모델에 표적 평가서를 쓰는 포렌식 정보분석가 역할을 맡기고 "넓게 말고 깊게(Go deep, not wide)", "직설적이고 구체적이며 정확하게(Be blunt, specific, accurate)" 쓰라고 지시한다. 답변은 AI_Analysis.txt로 저장돼 운영자에게 넘어간다.

응답에 "I can't", "I'm not able" 같은 문구가 있으면 moonshotai/kimi-k2, 이어 google/gemini-2.5-flash로 다시 요청한다.

샘플 컴파일 시각은 2026년 8월 17일, 최초 발견일은 10월 11일이다. 탈로스는 텔레그램 채널·API 키 등 6개 항목을 바꿔 끼우는 템플릿 구조로 보아 제작자가 구매자별 맞춤 파일을 파는 '빌더' 판매 방식으로 평가했다.

맥락: AI가 명령을 짜던 단계에서 '감정평가'로

구글 위협인텔리전스그룹(GTIG)은 2025년 11월 러시아 APT28 연계 'PROMPTSTEAL'을 실제 작전에서 LLM에 질의한 첫 악성코드로 보고했다. 탈로스도 9월 22일 상용 모델 4개가 투표로 다음 행동을 정하는 'CLOSEDQUORUM'을 공개했다.

VOLTA는 AI를 분석에 쓴다는 점이 다르다. 탈로스는 "VOLTA는 성숙한 탈취형 악성코드에 단 하나의 목적, 즉 운영자의 분석 업무를 덜어 주기 위한 AI 계층을 뒤늦게 덧붙인 것"이라며 "여기서 AI 개선의 축은 속도나 규모가 아니라 노력의 대체"라고 썼다.

전망과 대응

탈로스는 크롬을 헤드리스 모드로 띄우는 프로세스를 애플리케이션 제어로 제한하고 알 수 없는 프로세스의 헤드리스 크롬 실행에 경보를 걸며, 하드웨어 기반 자격 증명 저장소를 쓰라고 권했다. 사고 대응 때는 유출 내역과 AI 호출 성공 여부가 남는 %APPDATA%\volta_debug.txt 로그를 보존한다. 시드 문구를 평문으로 저장했던 지갑은 완전히 털린 것으로 보고 인터넷과 분리된 기기에서 만든 새 지갑으로 옮겨야 한다.

자주 묻는 질문

Claude 등 AI 모델이 실제로 공격자를 도왔나?

VOLTA는 Claude Opus 4.6에 먼저 묻고 거절되면 Kimi K2, Gemini 2.5 Flash로 넘어가게 만들어졌다. 보고서는 모델별로 얼마나 응했는지는 밝히지 않았다.

네트워크 차단으로 막을 수 있나?

어렵다. 관측된 접속 대상은 오픈라우터 API 등 모두 제3자 운영 서비스이고 공격자 서버는 없다. 행위 기반 탐지가 필요하다.

참고 자료

• Appraisal by AI: Model-driven victim prioritization in the VOLTA infostealer — Cisco Talos(2026년 10월 31일)
• GTIG AI Threat Tracker: Advances in Threat Actor Usage of AI Tools — Google Threat Intelligence Group(2025년 11월 5일)