탈취한 계정의 ‘가치’ AI로 분류…시스코 탈로스, 악성코드 VOLTA 분석

시스코 탈로스가 10월 31일 공개한 윈도 정보탈취 악성코드 ‘VOLTA-AUTODOXER’ 분석에서, 탈취한 계정·결제 정보 등을 AI 모델로 분류해 공격 대상의 가치를 평가하는 기능이 확인됐다. 연구진이 분석한 것은 악성코드의 기능이며 실제 감염자 수나 유포 규모는 확인하지 못했다.

AI가 비밀번호를 찾아내는 방식은 아니다. 탈로스에 따르면 악성코드는 브라우저에 저장된 자격증명과 세션, 암호화폐 지갑 관련 자료를 먼저 수집한 뒤 피해자 관련 자료를 묶어 언어모델에 전달한다. 모델은 수집된 항목 가운데 금전적 가치가 큰 계정이나 자산을 추려 보고서 형태로 돌려주는 역할을 한다.

도난 정보 수집 뒤 모델 호출…거부되면 다른 모델로 전환

탈로스가 확인한 코드에는 모델 응답이 거부될 때 다른 모델로 넘기는 경로가 들어 있다. 기본 모델과 대체 모델을 합쳐 최대 세 모델을 순차적으로 시도하도록 설계됐다. 이 기능은 선택 사항으로, 모델 연결에 필요한 키가 없으면 정보탈취 기능만 작동할 수 있다.

분석 문서에는 훔친 로그인 세션으로 주문 내역 등을 조회해 주소와 계정 정보를 보강하는 절차도 기술돼 있다. 이후 악성코드는 수집 정보와 AI 분석 결과를 압축해 외부로 보낼 수 있다. 실제 피해자의 주문 기록을 연구진이 확보했다는 뜻은 아니다.

관찰된 것은 기능, 실제 공격 규모는 미확인

탈로스는 분석 대상 실행 파일을 10월 11일 처음 관찰했다고 기록했다. 다만 최초 관찰일은 실제 감염이 시작된 날짜가 아니다. 배포 경로와 운영자, 피해 규모를 특정할 자료도 공개 분석만으로는 확인되지 않는다.

데이터 피닉스는 이 분석을 전하며 AI가 정보 수집 도구 자체라기보다 수집한 자료를 선별하는 단계라고 구분했다. 악성코드에 기능이 들어 있다는 사실과 현실에서 그 기능이 대규모로 사용됐다는 주장은 구별해야 한다.

대표 이미지: AI 생성 이미지 / 데이마크

출처: 시스코 탈로스(2026년 10월 31일) https://blog.talosintelligence.com/appraisal-by-ai-model-driven-victim-prioritization-in-the-volta-infostealer/

출처: Data Phoenix(2026년 10월 31일) https://dataphoenix.info/news/volta-autodoxer-ai-victim-prioritization