최근 'VOLTA-AUTODOXER'라는 새로운 윈도우(Windows) 정보 탈취 악성코드(infostealer)가 발견되어 사이버 보안 업계를 긴장시키고 있습니다. 이 악성코드는 기존의 정보 탈취 방식을 넘어, 훔친 사용자 인증 정보와 개인 데이터를 대규모 언어모델(LLM)에 전송하여 피해자의 잠재적 금전적 가치와 보안 상태를 자동으로 평가하고 우선순위를 매기는 기능을 탑재했습니다. 이는 공격자가 수동으로 데이터를 분석하는 데 드는 시간과 노력을 획기적으로 줄여 범죄의 효율성을 극대화할 수 있음을 의미합니다.
VOLTA-AUTODOXER는 실행 후 스스로를 삭제하는 특징을 가지며, 브라우저 비밀번호, 쿠키, 결제 카드 정보는 물론 슬랙(Slack) 워크스페이스, 스팀(Steam) 및 배틀넷(Battle.net) 세션, 디스코드(Discord) 토큰, 텔레그램(Telegram) 세션 등 광범위한 데이터를 수집합니다. 특히 주목할 점은 수집된 정보를 '구조화된 증거 묶음'으로 만들어 오픈라우터(OpenRouter)를 통해 LLM에 전달한다는 것입니다. 기본적으로 앤트로픽(Anthropic)의 클로드 오푸스(Claude Opus) 모델을 사용하지만, 요청이 거절되면 키미(Kimi), 제미니(Gemini) 순으로 전환하는 다중 모델 구성도 갖추고 있습니다. LLM은 '대상 평가서를 작성하는 포렌식 정보 분석가' 역할을 부여받아 피해자의 자산 가치와 보안 상태(OPSEC)를 평가하고, 이름, 주소, 비밀번호 패턴 간의 연결까지 추론하도록 지시받습니다. 심지어 지메일(Gmail) 영수증이나 음식 배달 앱 주문 내역을 조회해 피해자의 거주지를 보강하고, 로블록스(Roblox) 계정의 실시간 가치까지 산정하는 등 탈취한 세션(authenticated session)을 활용해 정보를 보강하는 치밀함도 보입니다.
이러한 LLM 기반의 자동화된 피해자 프로파일링은 사이버 범죄의 패러다임을 바꿀 잠재력을 가지고 있습니다. 과거에는 공격자가 수많은 탈취 데이터를 일일이 분석하여 가치 있는 대상을 선별해야 했지만, 이제는 LLM이 그 역할을 대신함으로써 공격의 진입 장벽을 낮추고 운영 규모를 확장할 수 있게 됩니다. 이는 기술 수준이 낮은 공격자도 고도화된 분석 능력을 활용하여 더 효과적으로 피해자를 타겟팅할 수 있게 됨을 의미합니다. 방어자 입장에서는 단순히 정보 탈취를 막는 것을 넘어, LLM을 활용한 지능적인 분석 및 후속 공격에 대비해야 하는 새로운 과제에 직면하게 되었습니다. 또한, 이러한 악성코드가 '고객별 빌더' 형태로 상품화되어 판매될 가능성도 제기되면서, 사이버 범죄 시장의 변화에도 주목해야 할 시점입니다.