상용 LLM로 피해자 분석하는 인포스틸러 발견

ai.euno.news 자동 뉴스 요약

시스코 탈로스(Cisco Talos)가 상용 대규모언어모델(LLM)로 감염 피해자의 신원과 자산 가치를 자동 분석하는 인포스틸러 ‘Volta-Autodoxer’를 발견했다. 악성코드 내부 명칭을 따서 붙인 이름으로, 수집한 자료를 분석해 공격 우선순위를 정하는 구조다. 다만 탈로스는 Volta가 실제 공격에 쓰였는지는 추적하지 못했다고 밝혔다.¹

인포스틸러는 감염된 기기에서 사용자 이름과 비밀번호, 인증 토큰, 쿠키, 결제카드 정보를 빼내는 악성코드다. Volta는 여기에 암호화폐 지갑의 시드 문구뿐 아니라 디스코드(Discord), 텔레그램(Telegram), 스팀(Steam), 로블록스(Roblox)의 활성 세션까지 수집한다. 탈로스 연구원 라이언 페터먼은 Volta가 “상당히 성숙한 스틸러”이며 수집 범위가 넓다고 평가했다.¹

첫 수집이 끝나면 Volta는 확보한 계정으로 한 번 더 깊이 파고든다. 지메일(Gmail) 같은 중심 계정에서 우버이츠(UberEats)·도어대시(DoorDash)의 영수증과 주문 내역을 찾아 피해자의 위치와 생활 습관을 보완한다. 이렇게 모은 자료는 직렬화한 신상 파일로 묶어 LLM에 넘긴다. 단순히 데이터를 빼내는 데서 그치지 않고, 사람 분석가가 하던 표적 선별까지 자동화한 셈이다.

LLM 연결에는 여러 AI 업체로 요청을 전달하는 오픈라우터(OpenRouter)를 쓴다. 기본 모델은 앤트로픽(Anthropic)의 Claude Opus 4.6이며, 요청이 안전장치에 막힐 경우 문샷 AI(Moonshot AI)의 오픈 웨이트 모델 Kimi K2, 이어 구글의 Gemini 2.5 Flash로 전환하도록 설계됐다.¹

분석 지시문은 240단어 분량이다. LLM에 피해자의 직업, 자산 가치, 보안 습관을 담은 요약을 만들고 서로 다른 단서를 연결하라고 요구한다. 예컨대 와이파이 비밀번호와 피해자의 성이 일치하는지 확인하는 식이다. 페터먼은 이 프롬프트가 노골적인 악성 의도를 드러내지 않도록 세심하게 작성됐다고 설명했다. 상용 LLM의 거부 가능성까지 고려한 다중 모델 구성은 기존 악성코드에 AI가 단순 부가기능이 아니라 분석·우선순위 결정 계층으로 들어가기 시작했음을 보여준다.

읽기 목록은 이 브라우저에 저장됩니다.