Yapay zekâ ile kurban profili çıkaran yeni bilgi hırsızı yazılım Volta-Autodoxer tespit edildi

Siber güvenlik dünyasında bilgi hırsızı (infostealer) olarak adlandırılan zararlı yazılımlar, ticari büyük dil modellerini kendi operasyonel süreçlerine dahil etmeye başladı. Cisco Talos bünyesindeki araştırmacıların paylaştığı teknik bulgulara göre, kod yapısında kendisini "Volta-Autodoxer" olarak tanımlayan yeni bir zararlı yazılım, bulaştığı cihazdan elde ettiği devasa veri yığınlarını yapay zekâya inceleterek kurbanlar hakkında otomatik istihbarat raporları hazırlatıyor. Sistem, saldırganların binlerce kurban arasından yüksek maddi ya da operasyonel değere sahip hedefleri hızla tespit etmesini sağlıyor.

Volta-Autodoxer, temel işlevleri bakımından internet tarayıcılarında kayıtlı parolaları, Microsoft OAuth oturum belirteçlerini, çerezleri, ödeme kartı numaralarını ve kripto para cüzdanlarının kurtarma sözcüklerini hedef alıyor. Zararlı yazılım aynı zamanda Discord, Telegram, Steam ve Roblox gibi genç internet kullanıcılarının yoğun bulunduğu platformların aktif oturumlarını da topluyor. İlk aşamadaki verileri toplayan zararlı yazılım, ardından hedefin Gmail veya diğer merkezi e-posta hesaplarına girerek UberEats ve DoorDash gibi servislerin sipariş faturalarından konum ve günlük alışkanlık haritası çıkarıyor.

Güvenlik filtrelerine karşı kademeli model zinciri

Toplanan verilerin analizi için farklı yapay zekâ servislerine tek noktadan erişim sunan OpenRouter altyapısı kullanılıyor. Yazılım, elde ettiği verileri analiz ettirmek için varsayılan olarak Anthropic tarafından geliştirilen Claude Opus 4.6 modeline yönlendiriyor. Ancak saldırganlar, yapay zekâ şirketlerinin güvenlik ve içerik filtrelerinin (guardrails) isteği engelleme olasılığına karşı sisteme otomatik geçiş kuralları eklemiş durumda. Claude Opus modelinden ret yanıtı gelmesi halinde sistem sırasıyla Moonshot AI tarafından geliştirilen açık ağırlıklı Kimi K2 modeline ve son çare olarak Google'ın Gemini 2.5 Flash modeline geçiş yapıyor.

Zararlı yazılımın kodlarında dil modeline verilen 240 kelimelik özel bir komut metni bulunuyor. Komutta yapay zekâya adli tıp istihbarat analisti gibi davranması söylenerek kurbanın kimliği, mesleği, tahmini maddi değeri ve operasyonel güvenlik zafiyetleri hakkında özet bir profil çıkarması talimatı veriliyor. Ayrıca kurbanın Wi-Fi şifresiyle soyadı arasındaki uyum gibi farklı alanlardaki verilerin birbiriyle ilişkilendirilmesi isteniyor. Cisco Talos araştırmacısı Ryan Fetterman, komut metninin doğrudan kötü niyetli görünmeyecek şekilde dikkatle hazırlandığını ve yapay zekâ çağrıları başarısız olsa bile zararlı yazılımın geleneksel yöntemlerle çalışmayı sürdürebildiğini belirtiyor.

Araştırmacılar, kimlik doğrulama belirteçlerinin kısa süreli kullanım ömrüne sahip olması ve şifrelerin değiştirilebilmesi nedeniyle yapay zekâ ile yapılan bu otomatik analizin saldırganlara kritik bir zaman avantajı kazandırdığını vurguluyor. Talos araştırmacıları yazılımın henüz sahada aktif bir saldırıda kullanılıp kullanılmadığını izlemediklerini kaydederken, kod yapısındaki işaretler aracın tek bir grup yerine siber suç pazarlarında farklı aktörlere satılmak üzere tasarlanmış olabileceğini gösteriyor.

Neden önemli?Büyük dil modellerinin zararlı yazılımlara entegre edilmesi, saldırganların süresi dolan oturum jetonlarını ve şifreleri tek tek ayıklamak yerine yüksek değerli hedefleri saniyeler içinde tespit etmesine imkân veriyor.

Cevabı beklenen sorular

• Volta-Autodoxer kodlarının siber suç forumlarında bağımsız saldırganlara satılıp satılmadığı henüz bilinmiyor.
• Yazılımın hedef aldığı yapay zekâ sağlayıcılarının bu tür istismarları engelleyecek yeni güvenlik filtreleri geliştirip geliştirmeyeceği belirsizliğini koruyor.