Siber suç dünyasında yeni bir yaklaşım belirginleşiyor: Ağı geniş at, her şeyi çal, gerisini yapay zekâ ayıklasın. Cisco Talos, 31 Ekim 2026’da yayımladığı analizde, kendisine “VOLTA-AUTODOXER” adını veren yeni bir Windows bilgi hırsızını (infostealer) ayrıntılarıyla anlattı. Zararlıyı farklı kılan şey, çaldığı verileri bir büyük dil modeline göndererek kurban hakkında adeta bir istihbarat raporu hazırlatması.
Talos’a göre VOLTA, iz bırakmamak için kendini silen olgun bir zararlı. Yapay zekâ katmanı ise isteğe bağlı bir özellik olarak sonradan eklenmiş ve tek bir amaca hizmet ediyor: Saldırganın en çok emek harcadığı analiz işini bir model çağrısına devretmek.
Neleri çalıyor?
VOLTA, tek bir çalıştırmada son derece geniş bir veri yelpazesini hedefliyor. Talos’un listelediği başlıca hedefler şunlar:
- Chromium tabanlı tarayıcılarda kayıtlı şifreler, çerezler ve ödeme kartları; Firefox ve Thunderbird profilleri
- Outlook profilleri, Slack çalışma alanları
- Discord, Telegram, Steam, Battle.net ve Roblox oturumları
- Microsoft oturum anahtarları, SSH ve bulut sağlayıcı yapılandırma dosyaları
- Kripto cüzdanları; zararlı, cüzdan kasalarını yerinde kırmaya çalışan gömülü bir kırıcı da barındırıyor
- Bilgisayarda kayıtlı tüm Wi-Fi şifreleri ve ekran görüntüleri
Çalınan oturumlarla “zenginleştirme”
VOLTA’yı sıradan bilgi hırsızlarından ayıran asıl özellik, toplama aşamasından sonra gelen “zenginleştirme” adımı. Zararlı, çaldığı oturumları kullanarak kurban hakkında daha fazla bilgi topluyor:
- Kurbanın kendi Gmail oturumuyla gelen kutusunda Amazon, DoorDash, Uber Eats, Grubhub, Walmart ve PayPal fişlerini arıyor ve bunlardan ev adresini doğruluyor.
- Çalınan Uber Eats ve DoorDash oturumlarıyla sipariş geçmişini çekiyor.
- Discord hesabını çalınan anahtarla ayrıntılandırıyor, Roblox envanterine canlı olarak değer biçiyor.
Bunların sonucunda konum ve ev adresi, işveren bilgisi, tahmini doğum yılı, kartların son dört hanesi, belge yazarlık bilgileri gibi verileri içeren yapılandırılmış bir dosya ortaya çıkıyor.
Yapay zekâya “adli istihbarat analisti” rolü
Bu dosya, bir sistem talimatıyla birlikte OpenRouter üzerinden bir dil modeline gönderiliyor. Talimat, modelden “hedef değerlendirmesi hazırlayan bir adli istihbarat analisti” gibi davranmasını istiyor. Beklenen çıktıda kurbanın değerli varlıklarının paraya çevrilebilirliğe göre düşük, orta ve yüksek olarak sıralandığı bir bölüm ile kurbanın güvenlik alışkanlıklarını ve şifre hijyenini değerlendiren bir bölüm bulunuyor.
Talos’a göre talimat, modelden dağınık verileri birbirine bağlamasını da istiyor; örneğin kurbanın adı, adresi ya da okuduğu üniversite ile şifrelerindeki örüntüler arasında bağlantı kurmasını. Yani modelden veri bulması değil, eldeki veriyi esnetip kullanışlı çıkarımlar yapması bekleniyor.
Model reddederse sıradakine geçiyor
Zararlının yapılandırmasında varsayılan model olarak Anthropic’in Claude Opus 4.6’sı yer alıyor. VOLTA, gelen yanıtta “yapamam” gibi ret ifadeleri olup olmadığını kontrol ediyor; model isteği reddederse sırasıyla Moonshot’ın Kimi K2’sine ve Google’ın Gemini 2.5 Flash’ına geçiyor. Talos, bu üç modelli yedek zincirin, saldırganın model güvenlik bariyerlerine takılmayı baştan beklediğini ve buna göre mühendislik yaptığını gösterdiğini vurguluyor. API anahtarı yoksa zararlı yapay zekâ aşaması olmadan da çalışabiliyor.
Dikkat çekici bir ayrıntı daha var: Model çağrısı, kurbanın kendi bilgisayarından ve kendi internet bağlantısı üzerinden yapılıyor; sonuç “AI_Analysis.txt” adıyla diğer dosyalarla birlikte dışarı sızdırılıyor. Talos, gözlemlenen tüm uç noktaların üçüncü taraflara ait olduğunu, saldırgana ait bir altyapı bulunmadığını belirtiyor.
Satılık bir araç olabilir
Talos’a göre VOLTA, ayarların koda gömülmesi yerine derleme sırasında doldurulan altı değiştirilebilir alana sahip bir şablon kullanıyor. Bu, zararlının bir “oluşturucu” (builder) modeliyle satıldığına işaret ediyor: Geliştirici erişimi satıyor, müşteri kendi bilgilerini veriyor ve her sipariş için özel bir dosya derleniyor. Bu doğruysa, yapay zekâ destekli kurban profili çıkarma özelliği, teknik bilgisi az olan suçluların da eline geçebilecek bir hizmet hâline geliyor.
Nasıl korunulur?
Talos’un önerileri hem kurumlar hem bireyler için yol gösterici:
- VOLTA’nın oturum çalma yeteneği büyük ölçüde Chrome’daki uygulamaya bağlı şifrelemeyi atlatmaya dayanıyor. Chrome’un “headless” modda hangi süreçler tarafından başlatılabileceğini kısıtlayan uygulama denetimi politikaları bu yolu kapatabiliyor; en azından beklenmedik bir süreç Chrome’u bu modda başlattığında uyarı üretilmeli.
- Kimlik bilgilerini mümkün olduğunca donanım destekli depolarda saklamak öneriliyor.
- Bulaşma şüphesinde, ne toplandığını gösteren “volta_debug.txt” kayıt dosyası korunmalı; tüm oturum anahtarları iptal edilmeli ve şifreler değiştirilmeli.
- Kurtarma kelimeleri diskte düz metin olarak duran kripto cüzdanları tamamen ele geçirilmiş sayılmalı ve varlıklar yeni bir cüzdana taşınmalı.
Bireysel kullanıcılar için temel kurallar değişmiyor: Bilinmeyen kaynaklardan dosya çalıştırmamak, şifreleri tarayıcı yerine güvenilir bir şifre yöneticisinde tutmak ve önemli hesaplarda iki adımlı doğrulama kullanmak.
Yapay zekâ suçun hangi aşamasına dokunuyor?
Talos, VOLTA’daki yapay zekâ kullanımının hız ya da ölçek değil, “emeğin yerini alma” üzerine kurulu olduğunu söylüyor: Saldırı zincirinde en çok insan dikkati gerektiren adımı bulup bir model çağrısıyla değiştirmek. Araştırmacılara göre savunmacıların sorması gereken soru, bu örüntünün başka yerlerde görülüp görülmeyeceği değil, bir sonraki adımda hangi aşamaya dokunacağı.
Kaynak: Cisco Talos
