Malware pencuri data Volta-Autodoxer tak berhenti mengumpulkan kata sandi dan token akun. Setelah menjarah informasi dari perangkat korban, malware itu mengirimkannya ke layanan kecerdasan buatan (AI) untuk menyusun profil dan membantu menentukan nilai target.
Temuan Cisco Talos yang dilaporkan Telset.id memperlihatkan bagaimana AI dapat menambah fungsi pada infostealer, jenis malware yang mengambil informasi sensitif dari perangkat terinfeksi. Namun, para peneliti belum memastikan apakah Volta-Autodoxer sudah digunakan dalam serangan di lapangan.
Dari kredensial ke profil digital korban
Volta mengincar data yang biasa tersimpan di peramban, termasuk kata sandi, cookie, token autentikasi Microsoft OAuth, informasi kartu pembayaran, serta seed phrase dompet kripto. Malware ini juga memburu sesi akun yang masih aktif di Discord, Telegram, Steam, dan Roblox.
Pengumpulan datanya tidak selesai pada sapuan pertama. Volta dapat menelusuri informasi yang ditemukan untuk mencari jejak tambahan di Gmail atau akun lain yang menjadi pusat aktivitas korban. Struk dan riwayat pesanan dari layanan seperti UberEats dan DoorDash, misalnya, bisa memberi petunjuk tentang lokasi maupun kebiasaan pengguna.
Dengan bahan tersebut, malware berupaya membangun gambaran yang lebih utuh tentang seseorang, bukan sekadar daftar akun dan kata sandi. Ryan Fetterman, peneliti keamanan Cisco Talos, mengatakan Volta telah mengumpulkan cukup banyak jenis informasi untuk menyusun berkas tentang target.
“Volta sudah cukup matang sebagai stealer. Jaringannya cukup lebar untuk apa yang dikumpulkannya,” kata Ryan Fetterman.
Telset.id menyebut sasaran yang dibidik tampaknya pengguna muda dengan banyak aktivitas digital. Meski begitu, kemampuan mengumpulkan beragam data tidak dengan sendirinya membuktikan bahwa malware tersebut sudah menyerang kelompok tertentu.
OpenRouter menghubungkan malware ke beberapa model
Setelah data terkumpul, Volta mengirimkan ringkasannya melalui OpenRouter, layanan yang memungkinkan permintaan diarahkan ke model AI dari penyedia berbeda. Pengaturan awalnya menggunakan Claude Opus 4.6 dari Anthropic. Bila jalur itu tidak berhasil, malware menyiapkan Kimi K2 dari Moonshot AI, lalu Gemini 2.5 Flash milik Google sebagai pilihan berikutnya.
Susunan tersebut memberi malware beberapa jalur untuk memperoleh analisis apabila salah satu model menolak permintaan atau tidak dapat digunakan. Menurut Fetterman, penggunaan model alternatif dan opsi yang lebih hemat biaya merupakan cara yang juga dikenal dalam aktivitas penyerang.
Instruksi yang disiapkan untuk model meminta analisis terstruktur atas bukti, termasuk rangkuman eksekutif, aktivitas korban, penilaian nilai target, serta kebiasaan keamanan operasionalnya. Model juga diarahkan untuk menghubungkan petunjuk dari beberapa kategori data. Dengan kata lain, AI dipakai untuk membantu membaca hubungan antarinformasi yang sebelumnya telah dicuri.
Talos mengidentifikasi Volta dengan CAIRN, kerangka kerja baru yang dirancang untuk menemukan perangkat peretasan dengan fitur AI. Menurut Fetterman, instruksi untuk model ditulis agar permintaan tidak secara gamblang tampak berbahaya. Tim Volta juga menyiapkan pilihan berjenjang jika model pertama menolak.
AI menjadi tambahan, bukan syarat kerja malware
Fitur analisis AI bukan satu-satunya cara Volta beroperasi. Fetterman menjelaskan malware tersebut tetap dapat berjalan sebagai pencuri data meski tidak memperoleh bantuan model. Artinya, kemampuan AI memperluas proses pengolahan informasi, tetapi bukan syarat agar fungsi dasarnya bekerja.
Perkembangan ini muncul saat peneliti keamanan makin sering menemukan penggunaan model AI untuk membantu pekerjaan peretasan, mulai dari pemrograman hingga memilah data curian. WIRED, mengutip peneliti CrowdStrike, sebelumnya melaporkan empat kelompok peretas dengan tingkat kemampuan dan bahasa operasi berbeda menggunakan perangkat AI dalam upaya menyasar puluhan target di berbagai negara. Sasarannya mencakup lembaga pemerintah dan perusahaan di sektor kesehatan, ritel, serta perjalanan.
Risiko pencurian kredensial sudah terlihat dalam sejumlah kebocoran besar. Telset.id mencatat, akses yang diperoleh peretas melalui informasi hasil infostealer turut berkaitan dengan insiden yang menyentuh AT&T dan Ticketmaster dalam kasus Snowflake, serta pencurian data Disney. Malware yang dapat memilah hasil curian berpotensi membantu penyerang memusatkan perhatian pada informasi yang dianggap paling berguna.
Fetterman menilai sejumlah petunjuk pada Volta mengarah pada kemungkinan malware itu disiapkan untuk dijual kepada berbagai penyerang, bukan hanya dibuat bagi satu kampanye. Namun, Talos belum melacak penggunaannya di lapangan. Pemantauan terhadap aktivitas malware ini menjadi perkembangan yang masih ditunggu.
You may also like
