VOLTA-AUTODOXER собирает данные о жертвах Windows и через ИИ выбирает, на ком выгоднее заработать
Новая вредоносная программа для Windows под названием VOLTA-AUTODOXER после сбора на заражённом компьютере всех доступных данных обращается к ИИ-модели, по умолчанию Claude от компании Anthropic, чтобы оценить потенциальную выгоду от атаки на жертву и выбрать наиболее перспективную цель. Об этом сообщает 3dnews.
«Как сообщает исследовательская группа Cisco Talos, VOLTA использует промпт, предписывающий ИИ действовать как «аналитик разведданных« и быть «прямым, конкретным и точным«. В нём также содержится требование предоставить краткую оценку того, насколько жертва подходит в качестве цели (с приведением обоснований), а также провести анализ уровня её защищенности (opsec), включая проверку качества используемых паролей», — пишет 3dnews.
Если используемая по умолчанию Claude Opus 4.6 отказывается выполнять запрос, программа может переключиться на другую модель — сначала на Kimi K2 от Moonshot AI, а затем на Gemini 2.5 Flash от Google — или вовсе исключить этап использования ИИ и отправить досье через Telegram, но без данных, сгенерированных ИИ.
На этапе сбора информации VOLTA крадёт пароли из браузеров, файлы cookie, сохранённые данные банковских карт, профили электронной почты Thunderbird и Outlook, аккаунты Roblox, токены Microsoft OAuth, скриншоты, а также конфигурационные файлы SSH и облачных сервисов. Эти сведения программа дополняет данными, извлечёнными в Gmail: например, использует квитанции от Amazon, DoorDash, Uber Eats, Grubhub, Walmart и PayPal, чтобы подтвердить домашний адрес. Программа также извлекает историю заказов из Uber Eats и DoorDash, использует украденный токен Discord для заполнения профиля жертвы и оценивает стоимость внутриигровых предметов Roblox с помощью ресурса Rolimons. Если в процессе сбора VOLTA обнаруживает криптокошелёк, она не просто копирует его, а пытается взломать хранилища прямо в процессе работы.
Собранные данные программа аккумулирует в «пакете данных» о жертве, включающем геолокацию и домашний адрес, место работы (включая домен компании), предполагаемый год рождения, метаданные авторства документов, а также последние четыре цифры банковских карт.
Судя по всему, VOLTA предназначена для работы на поток в качестве сервиса для хакеров. Злоумышленник может заранее задать в ней исходные данные — Telegram-канал, API-ключи и другие параметры, и система сгенерирует под него отдельный исполняемый файл. Благодаря этому покупатели получают готовые отчёты о «перспективности» жертв прямо в мессенджере, не управляя собственной инфраструктурой.
При этом VOLTA может обходить современные механизмы защиты, например App-Bound Encryption в Chrome, за счёт запуска браузера в headless-режиме, то есть без графического интерфейса. С помощью политики контроля приложений, ограничивающей список процессов, которым разрешён запуск Chrome в таком режиме, можно заблокировать механизм расшифровки ABE. Однако это не предотвращает другие виды кражи данных и не блокирует возможность использования в схеме ИИ или передачу похищенной информации злоумышленникам.
После завершения сбора данных основной исполняемый файл вредоноса может самоудалиться, но на устройстве жертвы останется файл volta_debug.txt, который содержит сведения о том, какие данные были собраны и успешно ли прошёл вызов LLM. Поэтому пострадавшему в любом случае следует отозвать или обновить все API-ключи и токены, а также сменить пароли.
Подписывайтесь на наш Telegram-канал, чтобы быть в курсе всех новостей и событий Рунета.
