악성코드, LLM으로 피해자의 금전적 가치에 따라 순위를 매김

Windows 정보 탈취 악성코드 VOLTA-AUTODOXER는 훔친 인증정보와 개인 데이터를 LLM에 보내, 피해자의 자산을 현금화 가치에 따라 평가하고 우선순위를 매김 단순한 정보 수집을 넘어 탈취한 세션으로 Gmail 영수증, 음식 배달 주문 내역, Discord 계정 등을 조회해 피해자의 신원과 거주지 정보를 보강함 기본 모델이 요청을 거절하면 Claude → Kimi → Gemini 순으로 전환하며, API 키가 없으면 LLM 분석 단계 없이도 작동함 LLM은 수집 자료의 근거를 인용하면서 자산 가치와 보안 상태를 평가하고, 이름이나 주소 같은 개인정보와 비밀번호 패턴 사이의 연결까지 추론하도록 지시받음 AI 계층은 공격자의 분석 노동을 대체하는 데 초점을 맞추며, 이런 자동화가 범죄의 진입 장벽이나 운영 규모를 얼마나 바꿀지는 아직 확정되지 않음 정보 탈취 이후에 붙는 피해자 분석 단계 CAIRN 연구에서 발견한 VOLTA-AUTODOXER는 실행 후 자신을 삭제하는 Windows 정보 탈취 악성코드이며, 선택적으로 LLM 기반 피해자 프로파일링을 수행함 수집한 정보를 구조화된 증거 묶음으로 만들어 기기 뒤에 있는 사람의 신원과 자산을 분석함 위치와 집 주소, 고용주와 고용주 도메인, 추정 출생연도, 결제 카드 끝 네 자리, Slack 워크스페이스를 포함함 문서 작성자 메타데이터, iPhone 백업 흔적, 실시간 Roblox 계정 가치도 담음 증거 묶음을 OpenRouter로 보내고, 모델에 “대상 평가서를 작성하는 포렌식 정보 분석가” 역할을 부여함 “WHAT THEY'RE WORTH” 항목에서 현금화 가치에 따라 자산의 순위를 매기고 낮음/중간/높음 등급을 부여하도록 요구함 “THEIR OPSEC” 항목에서는 피해자의 보안 상태와 비밀번호 관리 수준을 평가하도록 함 원시 인증정보 로그를 근거 인용이 포함된 피해자 분석 보고서로 바꾸는 구조임 모델 거절에 대비한 다중 모델 구성 기본 모델은 anthropic/claude-opus-4.6 이며, 실패하거나 거절하면 moonshotai/kimi-k2, google/gemini-2.5-flash 순서로 전환함 응답에 “I can’t”, “I’m not able” 같은 문구가 있는지 검사함 이런 구성은 운영자가 모델의 거절을 예상하고, 더 작고 허용적인 모델로 우회하도록 설계했음을 시사함 요청은 OpenRouter의 /api/v1/chat/completio...