Infostealer VOLTA Pakai Claude, Kimi, Gemini untuk Taksir Nilai Korban
Cisco Talos mengungkap VOLTA, malware pencuri data (infostealer) untuk Windows yang menyerahkan hasil curiannya ke model AI agar nilai tiap korban ditaksir secara otomatis. Laporan yang terbit pada 31 Oktober 2026 itu menunjukkan VOLTA memakai Claude Opus 4.6 sebagai model utama, lalu beralih ke Kimi K2 dan Gemini 2.5 Flash bila permintaannya ditolak. Temuan ini menandai pergeseran baru, karena AI tidak lagi dipakai untuk menulis kode jahat, tetapi untuk bekerja sebagai analis yang memilah korban paling menguntungkan.
Apa Itu Infostealer VOLTA dan Cara Kerjanya?
VOLTA, yang menamai dirinya VOLTA-AUTODOXER, adalah infostealer Windows yang menghapus dirinya sendiri setelah berjalan. Menurut Cisco Talos (2026), malware ini mencuri kata sandi, cookie, kartu pembayaran, dan dompet kripto, lalu mengirim ringkasan data korban ke model bahasa besar untuk diberi peringkat berdasarkan nilai uangnya.
Daftar curiannya panjang. VOLTA menguras kata sandi dan cookie dari peramban berbasis Chromium, Firefox, Thunderbird, profil Outlook, ruang kerja Slack, sesi Discord, Telegram, Steam, dan Roblox, token OAuth Microsoft, kunci SSH dan penyedia cloud, sampai kata sandi semua jaringan Wi-Fi yang pernah tersimpan. Malware ini juga menjalankan alat pembobol bawaan terhadap brankas dompet kripto yang ditemukan di disk korban.
Yang membuatnya berbeda adalah tahap pengayaan data. Dengan token Gmail milik korban, VOLTA mencari struk belanja dari Amazon, DoorDash, Uber Eats, Grubhub, Walmart, dan PayPal untuk memastikan alamat rumah. Riwayat pesanan Uber Eats dan DoorDash ditarik lewat sesi curian, dan nilai akun Roblox dicek secara langsung. Semua data itu disusun menjadi berkas Identity_Report.txt sebelum dikirim ke model AI.
Sampel yang dianalisis Talos tercatat pertama kali terlihat pada 11 Oktober 2026, dengan cap waktu kompilasi 17 Agustus 2026. Talos juga mencatat bahwa seluruh titik akhir yang dipakai VOLTA dikendalikan pihak ketiga, sehingga penyerang tidak memiliki server sendiri yang bisa dilacak atau dimatikan oleh penegak hukum.
Bagaimana Claude, Kimi, dan Gemini Disalahgunakan VOLTA?
VOLTA mengirim berkas profil korban ke layanan perantara model OpenRouter dengan instruksi agar model berperan sebagai analis forensik yang menyusun penilaian target. Model bawaannya Claude Opus 4.6. Jika jawaban berisi frasa penolakan seperti "I can't", permintaan dialihkan ke Kimi K2, lalu ke Gemini 2.5 Flash, hingga tiga model.
Instruksi sistem itu meminta keluaran dengan bagian berjudul "WHAT THEY'RE WORTH", berisi aset korban yang diurutkan berdasarkan nilai jual dengan tingkat rendah, sedang, dan tinggi. Ada pula bagian "THEIR OPSEC" yang menilai kebiasaan keamanan dan pola kata sandi korban. Hasilnya disimpan sebagai AI_Analysis.txt, lalu dikirim keluar bersama laporan identitas dalam satu arsip bernama volta_dox.zip.
Pengaturan temperature model dikunci di angka 0,2. Menurut Talos, nilai rendah ini menunjukkan penyerang mengutamakan jawaban yang akurat dan konsisten. Rantai cadangan tiga model juga menandakan pembuatnya sudah memperkirakan akan membentur pagar pengaman model, sehingga sengaja menyiapkan model yang lebih kecil dan lebih longgar sebagai jalan keluar.
"The question for defenders is not whether this pattern will appear elsewhere, but which phase it touches next," tulis Ryan Fetterman, peneliti Cisco Talos, dalam laporannya. Ia menilai inti perubahannya adalah pemindahan kerja analis manusia ke model AI, bukan peningkatan kecepatan atau skala serangan.
VOLTA Dijual sebagai Builder dan Belum Terlihat di Lapangan
Talos menilai VOLTA kemungkinan besar dijual sebagai builder. Kodenya memakai templat dengan enam slot yang bisa diganti saat kompilasi, termasuk kanal Telegram dan kunci API. Artinya, pembeli dengan kemampuan rendah sekalipun bisa memesan biner sendiri dan langsung menerima penilaian korban yang sudah diperingkat AI ke kotak masuk Telegram mereka.
Kunci API di dalam slot itu memang dienkripsi, tetapi Talos menyebut perlindungannya lemah. Kuncinya berupa hash SHA-256 dari dua konstanta yang tersimpan di biner yang sama, sehingga siapa pun yang membongkar berkas bisa memulihkannya. Talos menduga enkripsi itu ada karena pembeli tidak ingin kunci API mereka tersimpan sebagai teks biasa.
Sejauh ini belum ada kampanye nyata yang terkonfirmasi. Startup Fortune, mengutip laporan Wired, menulis bahwa Talos belum melihat VOLTA dipakai dalam serangan sungguhan, dan sampel yang dianalisis tampak seperti prototipe yang sudah berfungsi. Tahap AI-nya pun opsional, karena malware tetap berjalan tanpa model bila kunci API tidak diisi.
VOLTA bukan satu-satunya temuan sepekan terakhir. Pada 29 Oktober 2026, Talos juga melaporkan NIK C2, kerangka kendali jarak jauh yang menyalahgunakan Chat Completions API milik OpenAI untuk menganalisis data curian di dalam sesi yang sama. Dua temuan ini memperlihatkan AI mulai dipasang di tahap setelah pencurian, tempat penyerang biasanya butuh waktu dan tenaga paling banyak.
Dampak bagi Perusahaan dan Pengguna di Indonesia
Bagi perusahaan, VOLTA berarti satu laptop karyawan yang terinfeksi bisa langsung menghasilkan profil lengkap berisi alamat, pemberi kerja, ruang kerja Slack, dan kunci cloud. Penyerang tidak perlu lagi memilah ribuan log curian secara manual, karena model AI sudah menandai korban mana yang paling layak diperas atau dibobol lebih lanjut.
Skala pasar data curian sudah besar sebelum AI masuk. Kaspersky Digital Footprint Intelligence mencatat lebih dari satu juta akun perbankan daring di 100 bank terbesar dunia jatuh ke tangan infostealer sepanjang 2025, dan 74 persen kartu pembayaran curian yang ditemukan masih berlaku pada Maret 2026. "The dark web has become a central hub for financial cybercrime," kata Polina Tretyak, analis Kaspersky Digital Footprint Intelligence.
Talos menyarankan kebijakan kontrol aplikasi yang membatasi proses mana yang boleh menjalankan Chrome dengan opsi --headless, karena jalur itu dipakai VOLTA untuk menembus App-Bound Encryption. Tim keamanan juga bisa memantau lalu lintas ke titik akhir OpenRouter dari perangkat yang tidak semestinya memanggil layanan AI, serta mencabut token dan mengganti kata sandi bila ada indikasi infeksi.
Bagi perusahaan di Indonesia, risiko ini bersinggungan langsung dengan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi yang kini berlaku penuh. Data karyawan dan pelanggan yang bocor lewat perangkat kerja tetap menjadi tanggung jawab pengendali data. Karena itu, kebijakan perangkat, autentikasi multifaktor, dan pemantauan pemakaian API AI di jaringan kantor perlu masuk ke agenda keamanan tahun depan.
Foto sampul: Cisco Talos.
(Burung Hantu Infratek / Berbagai Sumber)
⚠️ Berita ini seluruhnya diriset, ditulis, dan dikembangkan dengan bantuan AI internal Burung Hantu Infratek.
🦉 Burung Hantu Infratek adalah software house dan system integrator yang sudah berpengalaman lebih dari 5 tahun dalam pengembangan dan implementasi generative AI pada berbagai perusahaan dan institusi.
Berita Terkait Keamanan AI
🛡️ Malware Yoba Menyamar Jadi Aplikasi ChatGPT dan Claude di GitHub
🤖 VAPOR PANDA Pakai Agen AI DeepSeek; Serang 200 Organisasi di 14 Negara
⚡ Microsoft Ungkap SesameOp: Malware Eksploitasi OpenAI API sebagai C2
📊 Ancaman Siber di Era AI: Membaca Data BSSN 2025 untuk Perusahaan Indonesia
Sumber dan Referensi
[1] Appraisal by AI: Model-driven victim prioritization in the VOLTA infostealer - Cisco Talos
[2] NIK C2: The new AI-enabled command-and-control framework - Cisco Talos
[3] Malware called Volta-Autodoxer uses AI to build a dossier on its victims - Startup Fortune
[5] Undang-undang (UU) Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi - JDIH BPK