Malware Baru Menggunakan AI untuk ‘Autodox’ Korban

Riset terbaru menunjukkan para peretas mulai menyematkan fungsi kecerdasan buatan (AI) ke dalam jenis malware pencuri data atau infostealer baru. Teknologi ini memungkinkan sistem untuk memprofilkan korban secara otomatis serta dengan cepat mengidentifikasi target dan informasi yang paling bernilai.

Cara Kerja dan Kemampuan Volta-Autodoxer

Malware tersebut dinamai “Volta-Autodoxer” berdasarkan cara perangkat lunak itu merujuk pada dirinya sendiri secara internal. Penemuan oleh para peneliti Cisco Talos ini memberikan gambaran tentang bagaimana model bahasa besar (LLM) komersial digunakan untuk memperluas dan meningkatkan kemampuan malware mapan, seperti dilaporkan oleh WIRED.

Ryan Fetterman, seorang peneliti keamanan di Cisco Talos, mengatakan bahwa Volta cukup matang sebagai pencuri data dan menjaring berbagai hal yang dikumpulkannya secara luas. Perangkat lunak ini menyusun semua temuan tersebut untuk menghasilkan dokumen berseri yang dikirimkan ke sejumlah model LLM. Sistem tersebut meminta model untuk bertindak sebagai analis intelijen dan menghasilkan penilaian korban yang terstruktur dengan kutipan sebagai fungsi prioritas serta analisis.

Talos menandai malware ini menggunakan kerangka kerja baru bernama CAIRN yang dibangun untuk mengidentifikasi perangkat peretasan dengan kemampuan AI. Namun, Fetterman mencatat bahwa pihak Talos belum melacak apakah Volta telah digunakan di alam liar.

Penyapuan Data dan Analisis Berbasis AI

Kemampuan tradisional infostealer milik Volta dinilai sangat kuat dan tampaknya diarahkan untuk menyasar pengguna internet yang lebih muda dengan kehidupan digital yang aktif. Malware ini memindai kata sandi yang disimpan di dalam peramban, token Microsoft OAuth, kuki, kartu pembayaran, frasa sandi dompet kripto, hingga sesi aktif Discord, Telegram, Steam, dan Roblox.

Selanjutnya, malware melakukan penyapuan kedua yang lebih mendalam menggunakan temuan putaran pertama. Melalui akun Gmail target atau akun pusat lainnya, Volta membangun gambaran yang lebih utuh mengenai korban, lokasi, dan kebiasaan mereka menggunakan data seperti tanda terima serta riwayat pesanan dari layanan semacam UberEats dan DoorDash.

Setelah seluruh proses selesai, malware memasukkan temuan tersebut ke dalam alat AI untuk dianalisis melalui OpenRouter, sebuah layanan yang dapat mengirimkan perintah ke berbagai penyedia AI yang berbeda. Volta menggunakan Anthropic’s Claude Opus 4.6 sebagai pilihan utama permintaannya.

Sebagai persiapan jika pembatas pengaman model tersebut memblokir aktivitas itu, Volta dirancang dengan sistem cadangan ke model Moonshot AI Kimi K2 asal Tiongkok dan Google Gemini 2.5 Flash jika gagal. Pembuatan sistem cadangan serta penggunaan model generasi lama yang hemat biaya merupakan teknik yang lumrah di kalangan penyerang.

Instruksi Perintah dan Ancaman di Masa Depan

Pembuat Volta menyertakan instruksi sepanjang 240 kata, termasuk butir-butir dan daftar bernomor, sebagai bagian dari panduan bagi LLM yang menganalisis data terkumpul. Perintah tersebut menginstruksikan chatbot untuk menyusun ringkasan eksekutif tentang seseorang, perincian aktivitas mereka, nilai dari target tersebut, hingga ringkasan keamanan operasional mereka, serta menghubungkan berbagai titik lintas bidang.

Fetterman menyampaikan bahwa instruksi tersebut disusun secara hati-hati agar tidak mengimplikasikan hal yang secara terang-terangan berbahaya. Para pembuatnya membangun antisipasi terhadap potensi penolakan model pada permintaan pertama dan merencanakan pengalihan ke model yang lebih longgar, sementara implan tersebut tetap dapat berfungsi tanpa AI.

Fetterman menambahkan bahwa Volta mengandung beberapa petunjuk yang mengindikasikan perangkat itu mungkin dibangun untuk dijual kepada berbagai penyerang, alih-alih dikembangkan khusus untuk kampanye satu aktor tertentu. Meskipun intinya masih berupa infostealer tradisional, perluasan AI ini menjadi pertanda aktivitas yang jauh lebih invasif dan berbahaya di kemudian hari.

Kemampuan untuk mengidentifikasi target bernilai tinggi secara lebih cepat memberikan peluang yang lebih besar untuk memanfaatkan kredensial atau melakukan autentikasi menggunakan token curian secara berkala. Peneliti melihat kapabilitas yang lebih canggih kini semakin mudah diakses oleh penyerang dengan tingkat kecanggihan yang lebih rendah.