VOLTA Infostealer يستخدم نموذج لغة كبير لترتيب أصول الضحية المسروقة

VOLTA-AUTODOXER هو infostealer يحذف نفسه على Windows، ويجمع بيانات الاعتماد والجلسات ومحافظ التشفير وبيانات نظام أخرى، ثم يرسل حزمة أدلة منظمة إلى نموذج لغة كبير لترتيب أصول الضحية حسب قيمة التسييل. يستخدم البرمجية الخبيثة سلسلة احتياطية متعددة النماذج إذا رفض نموذج تقييم الهدف. لا توجد بنية تحتية مملوكة للمهاجم وراءه.

ما يجمعه VOLTA

في مرور واحد، يمكن لـ VOLTA استخراج بيانات الاعتماد وملفات تعريف الارتباط وبطاقات الدفع المحفوظة عبر المتصفحات المبنية على Chromium. كما يستهدف Firefox وThunderbird وملفات تعريف Outlook ومساحات عمل Slack وجلسات Steam وBattle.net ورموز Discord وجلسات Telegram وحسابات Roblox وملفات تهيئة SSH ومزودات السحابة وكلمات مرور Wi-Fi ولقطات الشاشة. يشغل كاسرًا مدمجًا على خزائن محافظ التشفير داخل العملية ويسجل النتيجة في تقريره.

تحديد الضحية بالذكاء الاصطناعي

بعد الجمع، يبني VOLTA حزمة أدلة منظمة تحتوي على الموقع الجغرافي والعنوان المنزلي وجهة العمل ونطاق عملها وسنة الميلاد المقدرة وآخر أربعة أرقام لبطاقات الدفع ومساحات عمل Slack وبيانات تعريف مؤلف المستندات ومؤشرات نسخ iPhone الاحتياطية وتقييم حساب Roblox نشط. يغني تلك الحزمة باستخدام الجلسات المسروقة، بما في ذلك إيصالات شراء Gmail وتاريخ طلبات Uber Eats وDoorDash وبيانات ملف Discord وتقييم مخزون Roblox. تُسلسل الحزمة كـ JSON وتُرسل إلى OpenRouter تحت prompt نظام يطلب من النموذج التصرف كمحلل استخبارات جنائي يصيغ تقييم هدف. يتضمن الإخراج المطلوب قسمًا يرتب الممتلكات حسب التسييل إلى مستويات منخفض ومتوسط وعالٍ، إضافة إلى تقييم وضع أمان الضحية ونظافة كلمات المرور.

الاحتياطي وإرسال البيانات

النموذج الافتراضي هو anthropic/claude-opus-4.6، مع احتياطي إلى moonshotai/kimi-k2 ثم google/gemini-2.5-flash. يتحقق VOLTA من الردود بحثًا عن عبارات الرفض ويستخدم temperature ثابتة 0.2. يعمل الاستدلال عبر اتصال شبكة الضحية نفسه قبل إرسال النتائج. يمكن أن تتضمن ملفات الإخراج volta_log.zip وvolta_dox.zip وvolta_doxnet.zip حسب نتائج الجمع والإثراء.

التدابير المضادة

يمكن للمدافعين تقييد العمليات التي قد تشغّل Chrome مع --headless لحجب مسار App-Bound Encryption bypass. إذا شُكّ في اختراق، يجب على المستخدمين حفظ APPDATA%\volta_debug.txt، وإلغاء الرموز التي قد تكون مخترقة، وتغيير كلمات المرور، واعتبار أي محفظة تحمل seed phrase نصًا عاديًا على أنها مخترقة بالكامل.

المصادر: blog.talosintelligence.com