Telset.id – Peneliti keamanan menemukan strain baru infostealer bernama Volta-Autodoxer yang menyisipkan kemampuan AI untuk secara otomatis memprofilkan korban dan memunculkan target bernilai paling tinggi beserta datanya. Temuan Cisco Talos yang dibagikan eksklusif kepada Kernel Panic ini menunjukkan bagaimana LLM komersial dipakai untuk memperkuat kemampuan malware yang sudah mapan.
Volta-Autodoxer mendapat nama itu karena cara malware menyebut dirinya sendiri secara internal. Infostealer sendiri selama ini sering disembunyikan dalam perangkat lunak palsu dan dirancang mengambil username, password, token autentikasi, cookie, hingga data kartu kredit dari mesin yang terinfeksi. Sejumlah kebocoran data terbesar dalam beberapa tahun terakhir, dari insiden Snowflake yang mencakup AT&T dan Ticketmaster hingga pencurian satu terabyte data Disney, berawal dari akses hacker memakai detail login hasil infostealer. Secara keseluruhan, malware jenis ini telah dipakai mencuri ratusan juta kredensial.
“Volta sudah cukup matang sebagai stealer. Jaringannya cukup lebar untuk apa yang dikumpulkannya,” kata Ryan Fetterman, peneliti keamanan di Cisco Talos. “Ia menyusun semua hal itu menjadi satu dossier berseri yang bisa dikirim ke beberapa model LLM. Ia meminta model bertindak seperti analis intelijen dan menghasilkan penilaian terstruktur berbasis sitasi tentang korban. Ini seperti fungsi prioritisasi dan analisis.”
Talos menandai malware ini menggunakan framework baru mereka, CAIRN, yang dibangun untuk mengidentifikasi alat hacking yang menyertakan kemampuan AI. Fetterman mencatat Talos tidak melacak apakah Volta telah digunakan di lapangan.
Kemampuan infostealer tradisional Volta terbilang kuat dan tampaknya diarahkan menyasar pengguna internet muda dengan kehidupan digital yang aktif. Malware ini menyapu password yang tersimpan di browser, token Microsoft OAuth, cookie, kartu pembayaran, dan seed phrase dompet kripto, tetapi juga sesi aktif Discord, Telegram, Steam, dan Roblox. Setelah itu malware melakukan sapuan kedua yang lebih dalam memakai temuan putaran pertama. Dengan menelusuri Gmail atau akun sentral lain milik target, Volta membangun gambaran lebih utuh tentang korban, lokasi, dan kebiasaan mereka menggunakan data seperti struk dan riwayat pesanan dari layanan termasuk UberEats dan DoorDash.
Setelah semua itu terkumpul, malware memasukkan temuannya ke alat AI untuk dianalisis menggunakan OpenRouter, layanan yang dapat mengirim prompt ke beberapa penyedia AI berbeda. Volta secara default mengarahkan permintaannya ke Claude Opus 4.6 dari Anthropic. Namun tampaknya mengantisipasi kemungkinan guardrail model memblokir aktivitas tersebut, Volta dibekali fallback ke model open weight asal China Moonshot AI Kimi K2 dan, jika itu gagal, ke Gemini 2.5 Flash dari Google. Membangun fallback dan mengandalkan model generasi lama yang hemat biaya adalah teknik umum di kalangan penyerang.
Volta juga menyertakan prompt sepanjang 240 kata berisi poin-poin dan daftar bernomor sebagai bagian dari instruksi kepada LLM mana pun yang menganalisis data yang dikumpulkan. “Anda adalah analis intelijen forensik yang menyusun penilaian target dari kumpulan bukti terstruktur,” demikian bunyi prompt Volta. Prompt itu meminta chatbot menghasilkan “executive summary” tentang orang tersebut, rincian aktivitasnya, “nilai dirinya”, dan ringkasan “opsec mereka”. Prompt juga menambahkan bahwa chatbot harus “menghubungkan titik antar-bidang”, misalnya memeriksa apakah password Wi-Fi seseorang sama dengan nama belakangnya. “Go deep, not wide,” bunyi prompt tersebut.
“Prompt-nya disusun cukup hati-hati agar tidak menyiratkan sesuatu yang terang-terangan jahat,” kata Fetterman. “Tapi mereka membangun ekspektasi untuk berpotensi menghadapi penolakan model pada permintaan pertama. Jadi mereka merencanakan failover yang bertingkat ke model yang lebih permisif seiring jalur yang diturunkan. Dan ada juga kemampuan untuk tetap memakai implant tanpa AI. Panggilan AI itu semacam tambahan, tetapi malware tetap berfungsi tanpanya.”
Sejumlah penjahat siber dan penipu level rendah sempat mengeluhkan sampah AI yang membanjiri forum kejahatan siber, tetapi peneliti keamanan makin sering menemukan hacker lain memakai LLM untuk tugas coding atau menganalisis tumpukan informasi curian. Peneliti di firma intelijen ancaman Crowdstrike, misalnya, baru-baru ini memberi tahu WIRED bahwa mereka melihat empat kelompok hacking berbeda dengan tingkat kemahiran beragam—beroperasi dalam bahasa Mandarin, Spanyol dan Inggris, Indonesia, serta Rusia—memakai alat AI untuk mengompromikan puluhan target di seluruh dunia, termasuk entitas pemerintah dan bisnis di bidang kesehatan, ritel, dan perjalanan.
Fetterman dari Cisco mengatakan Volta mengandung sejumlah petunjuk bahwa malware ini mungkin dibangun untuk dijual kepada berbagai penyerang ketimbang dikembangkan untuk kampanye satu aktor tertentu. Meski intinya masih infostealer tradisional, ekspansi AI ini mengisyaratkan aktivitas yang lebih invasif dan berbahaya di masa depan. “Jika Anda bisa mengidentifikasi target bernilai tinggi lebih cepat, Anda mungkin punya peluang lebih baik memakai kredensial mereka atau mengautentikasi menggunakan token curian lebih sering daripada jika Anda harus melakukan triase itu sendiri,” kata Fetterman, merujuk pada fakta bahwa token autentikasi bisa kedaluwarsa dan password bisa diganti. “Kami melihat kemampuan yang lebih canggih dapat diakses oleh penyerang dengan kemahiran lebih rendah. Ini benar-benar menarik dan mengganggu.”
Baca Juga:
Ancaman Infostealer Berbantuan AI bagi Pengguna
Temuan Volta-Autodoxer memperlihatkan pergeseran cara infostealer bekerja. Alih-alih sekadar mengumpulkan kredensial dalam jumlah besar, malware ini memakai model AI untuk menyaring dan memprioritaskan data korban. Fungsi analisis yang biasanya dikerjakan manual oleh penyerang kini otomatis dijalankan mesin, sehingga target paling berharga bisa muncul lebih cepat. Bagi pengguna, ini menegaskan pentingnya kewaspadaan terhadap perangkat lunak palsu yang menjadi sarang penyebaran infostealer.
Volta menyasar beragam data sensitif sekaligus: password browser, token Microsoft OAuth, cookie, kartu pembayaran, seed phrase dompet kripto, hingga sesi aktif Discord, Telegram, Steam, dan Roblox. Sapuan kedua lewat Gmail atau akun sentral lain melengkapi profil korban dengan data struk dan riwayat pesanan dari layanan seperti UberEats dan DoorDash. Kombinasi data ini kemudian diolah AI untuk menghasilkan penilaian target yang terstruktur.
Fetterman menyoroti bahwa malware tetap bisa beroperasi tanpa AI. Panggilan ke model bahasa bersifat tambahan, sementara inti pencurian data berjalan seperti infostealer biasa. Artinya, bahkan jika permintaan ke LLM ditolak, Volta masih berfungsi. Inilah yang membuat ancaman ini tetap relevan meski guardrail model AI terus diperketat. Sejumlah insiden pencurian kredensial, termasuk kasus token Claude Max, menunjukkan bagaimana data curian dari infostealer bisa berujung pada akses tidak sah.
Di sisi lain, keragaman model yang dipakai Volta—Claude Opus 4.6 sebagai default, lalu Kimi K2 dan Gemini 2.5 Flash sebagai fallback—mencerminkan strategi penyerang mengantisipasi penolakan model. Teknik failover bertingkat ke model yang lebih permisif ini menjadi pola yang perlu dicermati. Peneliti Crowdstrike bahkan mencatat empat kelompok hacking dengan bahasa operasi berbeda, termasuk Indonesia, memakai alat AI untuk mengompromikan puluhan target di sektor pemerintah, kesehatan, ritel, dan perjalanan.
Bagi pengguna sehari-hari, temuan ini menjadi pengingat bahwa ancaman siber tidak lagi hanya soal malware konvensional. Alat bantu AI kini mempercepat pekerjaan penyerang, termasuk dalam memilah korban. Volta sendiri belum diketahui apakah sudah dipakai di lapangan, tetapi kemampuan yang dibawanya memberi gambaran arah perkembangan infostealer ke depan.
[ META_DESCRIPTION]
Cisco Talos menemukan infostealer Volta-Autodoxer yang memakai AI untuk memprofilkan korban dan memprioritaskan target bernilai tinggi.
Komentar
Belum ada komentar.