AI로 피해자 자동 프로파일링하는 신종 악성코드 등장
원제: Spooky New Infostealer Malware Uses AI to ‘Autodox’ Victims
왜 중요한가
상용 LLM이 공격 자동화 도구로 편입되면서 기존 인포스틸러의 위협 수준이 한 단계 높아지는 전환점을 보여준다.
Cisco Talos 연구팀이 2026년 10월 말, AI로 피해자를 자동 프로파일링하는 신종 인포스틸러 'Volta-Autodoxer'를 발견했다. 로그인 정보, 신용카드, Discord·Steam·Roblox 세션, UberEats 영수증까지 수집한 뒤 상용 LLM에 넘겨 구조화된 분석 보고서를 생성하며, Claude Opus 4.6을 기본값으로 Kimi K2·Gemini 2.5 Flash를 대체 모델로 설정했다.
Cisco Talos 연구팀이 Wired의 Kernel Panic 뉴스레터에 독점 공개한 새 보고서에 따르면, 'Volta-Autodoxer'는 기존 인포스틸러 기능에 상용 LLM 연동을 결합한 첫 사례 중 하나다.
악성코드는 두 단계로 작동한다. 1단계에서 브라우저 저장 비밀번호, Microsoft OAuth 토큰, 쿠키, 결제카드 정보, 암호화폐 지갑 시드 구문, Discord·Telegram·Steam·Roblox 활성 세션을 일괄 수집한다. 2단계에서는 Gmail 등 중심 계정을 파고들어 UberEats·DoorDash 주문 내역과 같은 생활 데이터를 추가로 긁어낸다.
수집된 정보는 OpenRouter를 통해 Anthropic의 Claude Opus 4.6으로 전송되며, 모델에게 '정보 분석가 역할'을 요청해 출처 인용이 포함된 피해자 평가 보고서를 생성한다. Claude의 가드레일이 작동할 경우를 대비해 중국 오픈웨이트 모델 Moonshot AI Kimi K2, 그 다음 대안으로 Google Gemini 2.5 Flash가 순차적으로 설정돼 있다.
Cisco Talos의 보안 연구원 Ryan Fetterman은 "Volta는 수집 범위가 매우 넓은 성숙한 스틸러"라며 "모든 데이터를 하나로 묶어 LLM에 보내고, 고가치 표적을 우선순위화·분석하는 기능을 구현했다"고 설명했다. Talos는 자체 개발한 CAIRN 프레임워크를 사용해 이 악성코드를 탐지했으며, 현재까지 실제 피해 사례가 보고됐는지는 확인되지 않았다. 악성코드는 주로 위조 소프트웨어에 숨겨져 배포된다.