VOLTA Zararlısı Çaldığı Verileri Yapay Zekâya Değerlendirtiyor

Cisco Talos'un 31 Ekim 2026'da yayımladığı araştırmaya göre VOLTA adlı bilgi hırsızı (infostealer: bilgisayardaki şifre, çerez ve oturumları çalan zararlı), Windows bilgisayarlardan çaldığı verilerle kurban hakkında bir dosya hazırlıyor ve bu dosyayı bir yapay zekâ modeline göndererek kurbanın varlıklarını paraya çevrilebilirliğine göre sıralatıyor. Talos'a göre yapay zekâ burada saldırganın analiz işini üstleniyor. Talos araştırmacısı Ryan Fetterman'ın WIRED'a söylediğine göre Talos, VOLTA'nın sahada, yani gerçek kurbanlara karşı kullanılıp kullanılmadığını takip etmedi.

Neler çalınıyor

Talos'un analizine göre VOLTA şu verileri hedef alıyor:

• Chromium tabanlı tarayıcılarda kayıtlı şifreler, çerezler ve ödeme kartları
• Firefox, Thunderbird ve Outlook profilleri
• Slack çalışma alanları ile Discord, Telegram, Steam, Battle.net ve Roblox oturumları
• Microsoft OAuth jetonları (şifre sormadan hesaba erişim sağlayan oturum anahtarları)
• SSH ve bulut hizmeti erişim anahtarları, bilgisayarda kayıtlı tüm Wi-Fi şifreleri ve ekran görüntüleri
• Kripto para cüzdanları: tohum kelimeleri (cüzdanı geri yüklemeye yarayan kurtarma kelimeleri) toplanıyor, cüzdan kasası da zararlının içindeki bir kırıcıyla açılmaya çalışılıyor

Talos'a göre bu verilerden kurbanın konumu ve ev adresi, işvereni, tahmini doğum yılı, kartlarının son dört hanesi, belge yazar bilgileri ve iPhone yedeği izleri gibi bilgileri içeren bir kurban dosyası oluşturuluyor.

Kurban dosyası nasıl zenginleştiriliyor

VOLTA bununla yetinmiyor. Talos'a göre ele geçirdiği Gmail oturumuyla kurbanın gelen kutusunda Amazon, DoorDash, Uber Eats, Grubhub, Walmart ve PayPal makbuzlarını arayıp ev adresini doğruluyor. Çalınan Uber Eats ve DoorDash oturumlarından sipariş geçmişini çekiyor, Discord jetonuyla hesap profilini zenginleştiriyor, Roblox envanterinin değerini de bir çevrim içi hizmetten anlık olarak sorguluyor.

Yapay zekâ ne yapıyor

Hazırlanan dosya, OpenRouter (tek bağlantıyla birden çok yapay zekâ sağlayıcısına istek gönderen hizmet) üzerinden bir büyük dil modeline gönderiliyor. Talos'a göre bu istek kurbanın kendi bilgisayarından ve kendi internet bağlantısı üzerinden yapılıyor; sonuç daha sonra dışarı çıkarılıyor. Saldırganın seçtiği varsayılan model Anthropic'in Claude Opus 4.6'sı. Model isteği reddederse VOLTA sırasıyla Moonshot AI'ın Kimi K2 ve Google'ın Gemini 2.5 Flash modellerine geçiyor. Talos, bu yedek zincirin saldırganın model retleriyle karşılaşmayı baştan beklediğini gösterdiğini belirtiyor. Erişim anahtarı tanımlı değilse zararlı, yapay zekâ adımı olmadan da çalışıyor.

Talos'a göre istem, modelden «hedef değerlendirmesi hazırlayan adli istihbarat analisti» gibi davranmasını istiyor. Beklenen çıktıda kurbanın varlıklarının paraya çevrilebilirliğine göre düşük, orta ve yüksek olarak sıralandığı bir bölüm ile kurbanın güvenlik alışkanlıklarını ve şifre hijyenini değerlendiren bir bölüm yer alıyor. Fetterman WIRED'a, istemin açıkça kötü niyet ima etmeyecek şekilde dikkatle hazırlandığını söyledi.

Neden önemli

Fetterman, WIRED'a yaptığı açıklamada şunları söyledi: «Yüksek değerli hedeflerinizi daha hızlı belirleyebilirseniz, ayıklamayı kendiniz yapmak zorunda kaldığınız duruma göre onların kimlik bilgilerini ya da çalınan oturum jetonlarını muhtemelen daha sık kullanabilirsiniz. Daha gelişmiş yeteneklerin daha düşük beceri düzeyindeki saldırganlara erişilebilir hale geldiğini görüyoruz.» WIRED'a göre Fetterman bununla, oturum jetonlarının süresinin dolabildiğine ve şifrelerin değiştirilebildiğine dikkat çekiyor.

Talos'a göre zararlıda derleme sırasında doldurulan altı değiştirilebilir ayar yuvası bulunuyor. Bu yapı, yazarın erişim satıp her müşteriye özel bir sürüm derlediği bir «builder» (satış) modeline işaret ediyor. Talos, VOLTA gerçekten satılan bir araçsa yapay zekâyla kurban dosyası çıkarma özelliğinin her beceri düzeyindeki müşteriye açık olacağını belirtiyor. Talos'un gözlediği tüm bağlantı noktaları üçüncü taraflara ait; saldırgana ait bir altyapı görülmedi.

Talos'a göre saldırganın en çok emek isteyen işini yapay zekâya devretme mantığı, SGH'nin daha önce aktardığı Cisco Talos'un CLOSEDQUORUM araştırması ile aynı.

Türkiye açısından

Talos raporunda kurban sayısı, ülke dağılımı ya da Türkiye'ye ilişkin bir bilgi yok. Siber Güvenlik Başkanlığı'nın (SGB) güvenlik bildirimlerinde 1 Kasım 2026 itibarıyla VOLTA ile ilgili bir kayıt bulunmuyor. Adres doğrulamada kullanılan DoorDash, Uber Eats, Grubhub ve Walmart ağırlıklı olarak ABD'de kullanılan hizmetler. Ancak tarayıcıda kayıtlı şifre, çerez ve kartların, Discord, Telegram, Steam ve Roblox oturumlarının ve kripto cüzdanlarının hedeflenmesi ülkeye bağlı değil; bu nedenle uyarı Türkiye'de Windows kullananlar için de geçerli.

Ne yapmalısınız

• Bilgisayarınıza bulaştığından şüpheleniyorsanız, Talos'un önerdiği gibi ele geçirilmiş olabilecek oturum jetonlarını iptal edin ve şifrelerinizi değiştirin.
• Kripto cüzdanınızın tohum kelimeleri bilgisayarda düz metin olarak duruyorsa Talos'a göre cüzdanı tamamen ele geçirilmiş sayın. Fonları, kurtarma kelimeleri internete hiç bağlanmamış bir cihazda üretilmiş yeni bir cüzdana taşıyın.
• Zararlı kendini silmiş olsa bile Talos, geride kalan kayıt dosyasının incelenmek üzere saklanmasını öneriyor; Talos'a göre bu dosya neyin toplandığını gösteriyor.
• Talos, kimlik bilgilerinin donanım destekli depolarda tutulmasını öneriyor.
• Kurumlar, Chrome'un görünmez modda (headless) hangi programlar tarafından başlatılabileceğini uygulama denetimi kurallarıyla sınırlayabilir ya da en azından buna alarm kurabilir. Talos'a göre VOLTA'nın jeton çalma yeteneği büyük ölçüde Chrome'daki bir şifreleme korumasını atlatmaya dayanıyor.

Talos'a göre VOLTA örneği ilk kez 11 Ekim 2026'da görüldü. Talos zararlının sahada kullanılıp kullanılmadığını takip etmediği için kaç kişiye bulaştığı bilinmiyor; zararlının nasıl yayıldığı ve kim tarafından satıldığı da raporda yer almıyor. Kaynaklarda Anthropic, Moonshot AI ya da Google'ın bu kullanıma ilişkin bir yorumu bulunmuyor.

Kaynaklar

• Cisco Talos — Appraisal by AI: Model-driven victim prioritization in the VOLTA infostealer (31 Ekim 2026)
• WIRED — Spooky New Infostealer Malware Uses AI to ‘Autodox’ Victims (31 Ekim 2026)

Kapak görseli (temsili): «Business professional engages in online shopping from home workspace while using credit card» — Shixart1985, CC BY 2.0, Wikimedia Commons (1200×675 kırpıldı).