Автоматизированная оценка уязвимостей через AI
Исследователи Cisco Talos обнаружили новый вариант Windows-инфостилера под названием VOLTA-AUTODOXER. Его ключевая особенность — интеграция с большими языковыми моделями (LLM). После компрометации системы malware собирает массив данных о жертве, формирует структурированный отчет и отправляет его через API OpenRouter в модель Anthropic Claude Opus 4.6 (по умолчанию).
Системный промпт инструктирует AI действовать как «криминалистический аналитик», быть «прямым, конкретным и точным». Задача модели — составить список ценностей жертвы, ранжированный по потенциальной финансовой выгоде, и оценить общую безопасность (password hygiene). Если Claude отказывается отвечать или ответ слишком краток, VOLTA автоматически переключается на Moonshot AI Kimi K2 или Google Gemini 2.5 Flash. При отсутствии ключей API данные могут быть отправлены через Telegram без AI-анализа.
Масштаб кражи данных и обход защиты
VOLTA собирает не только стандартные пароли и куки, но и глубокие профили. Злоумышленники извлекают:
- Пароли браузеров, cookies, сохраненные платежные карты.
- Профили почтовых клиентов Thunderbird и Outlook.
- Аккаунты Roblox, OAuth-токены Microsoft, SSH-конфигурации.
- Пароли Wi-Fi в открытом виде и криптокошельки (с попыткой взлома vaults).
Особую опасность представляет этап «живого обогащения» (live enrichment). Malware использует украденные сессии для поиска чеков в Gmail (Amazon, Uber Eats, DoorDash), чтобы подтвердить адрес, и анализирует историю заказов. Для кражи сессий Chrome VOLTA обходит шифрование App-Bound Encryption (ABE), запуская браузер в headless-режиме, что позволяет обойти некоторые политики контроля приложений.
Технические детали и метрики
Собранные данные локально сохраняются в Identity_Report.txt и сериализуются в JSON, после чего POST-запросом отправляются на OpenRouter. Результат сохраняется в AI_Analysis.txt. Оба файла архивируются в volta_dox.zip и эксфильтруются. Температура генерации (temperature) жестко зафиксирована на уровне 0.2, что указывает на приоритет предсказуемости и точности ответов AI над креативностью.
| Компонент / Модель | Роль в атаке | Примечания |
|---|---|---|
| Anthropic Claude Opus 4.6 | Основная AI-модель | Используется по умолчанию, temperature 0.2 |
| Moonshot AI Kimi K2 | Резервная модель | Активируется при отказе Claude |
| Резервная модель | Третий вариант при отказе предыдущих | |
| OpenRouter | Маршрутизатор API | Канал связи между malware и LLM |
| Telegram | Канал эксфильтрации | Используется, если нет API-ключа OpenRouter |
Модель распространения и рекомендации
VOLTA-AUTODOXER позиционируется как продукт для перепродажи (SaaS). Покупатель получает шаблон с шестью заменяемыми слотами для настройки Telegram-канала, API-ключей и других параметров. После сборки кастомного бинарника клиент получает готовые рейтинги целей в свой Telegram-бот, не используя собственную инфраструктуру для AI-вычислений.
После выполнения задач основной исполняемый файл может удалить себя, но оставляет файл лога volta_debug.txt. Cisco Talos рекомендует немедленно сменить все пароли, отозвать API-ключи и токены, а также перевести средства из криптокошельков, если seed-фразы хранились в открытом виде, на новые кошельки, сгенерированные на изолированных устройствах.
Источник: Tom's Hardware ↗