VOLTA, 로그인 정보 훔쳐 AI에 신상 분석까지 맡긴다

시스코 탈로스(Cisco Talos)가 10월 31일 윈도 정보탈취 악성코드 VOLTA의 분석 결과를 공개했습니다. 비밀번호뿐 아니라 로그인 상태를 유지하는 세션까지 훔치며, 수집한 자료를 AI에 보내 피해자의 신상과 자산을 분석하도록 하는 기능도 갖췄습니다.

게임 계정과 배달 주문 내역이 한데 모인다

탈로스가 분석한 VOLTA의 수집 대상에는 브라우저에 저장된 비밀번호와 쿠키, 스팀·디스코드·로블록스의 로그인 세션이 포함됩니다. 세션과 토큰은 비밀번호를 매번 입력하지 않아도 로그인한 상태로 서비스에 접근할 때 쓰이는 정보입니다.

VOLTA는 훔친 세션으로 지메일의 구매 영수증과 우버이츠·도어대시 주문 내역에서 집 주소 단서를 모으고, 디스코드 프로필 정보를 추가로 수집하거나 로블록스 보유 아이템의 가치를 조회합니다. 다만 이번 보고서는 이들 서비스의 서버가 침해됐다는 내용이 아니며, 서비스를 이용하는 것만으로 감염된다는 뜻도 아닙니다.

AI는 정보를 훔친 뒤 분석을 맡는다

수집이 끝나면 VOLTA는 자료를 묶어 외부 AI 모델 연결 서비스인 OpenRouter로 보냅니다. AI에는 피해자의 자산을 현금화 가치에 따라 분류하고, 비밀번호 관리 등 보안 상태를 평가하도록 요청합니다. 수집한 자료에서 신상에 관한 단서를 연결하고 추론하는 과정이므로, 결과에 담긴 직장이나 나이 등의 정보가 모두 정확하다고 단정할 수는 없습니다.

이 기능은 공격자가 훔친 자료를 분석하는 일을 대신합니다. VOLTA는 API 키가 없으면 AI 단계를 건너뛰고도 작동할 수 있습니다. 탈로스는 모델이 분석을 거부하면 다른 모델로 요청을 넘기려는 설계도 발견했지만, 이것이 모든 모델이 실제로 요청에 응했다는 뜻은 아닙니다.

비밀번호 변경과 세션·토큰 무효화를 함께

탈로스는 감염 시 노출됐을 가능성이 있는 토큰을 무효화하고 비밀번호를 바꾸도록 권고합니다. 계정에 접근할 수 있는 세션도 함께 무효화해야 하며, 비밀번호만 바꿨다고 훔쳐 간 세션까지 모두 끊겼다고 가정해서는 안 됩니다.

VOLTA의 주 실행 파일은 스스로 삭제될 수 있지만, 무엇을 수집했고 AI 요청이 성공했는지를 기록한 volta_debug.txt 로그는 남아 있을 수 있습니다. 가능하다면 이 파일을 삭제하지 말고 조사 자료로 보존해 두는 것이 탈로스의 권고입니다.