برنامج VOLTA-AUTODOXER لسرقة معلومات Windows المدعوم بالذكاء الاصطناعي يصنف أصول الضحايا باستخدام Claude

أفاد Cisco Talos أن برنامج VOLTA-AUTODOXER لسرقة معلومات Windows، الذي يحذف نفسه، يسرق مجموعة واسعة من البيانات من حاسوب الضحية، ويثريها، ويطلب من نموذج ذكاء اصطناعي، Claude من Anthropic افتراضياً، ترتيب أصول الضحية حسب قيمتها النقدية. ويمكن للبرمجية الخبيثة التبديل إلى نماذج أخرى إذا رفض أحد النماذج، أو تخطي خطوة الذكاء الاصطناعي بالكامل. ثم تحذف الملف التنفيذي الرئيسي بعد الإصابة، بينما قد يبقى سجل تصحيح الأخطاء.

ما يسرقه البرنامج الخبيث

يسرق VOLTA كلمات مرور المتصفح، وملفات تعريف الارتباط، وبطاقات الدفع المحفوظة، إلى جانب ملفات تعريف البريد الإلكتروني في Thunderbird وOutlook، وحسابات Roblox، ورموز Microsoft OAuth، ولقطات الشاشة، وملفات تهيئة SSH وموفري الخدمات السحابية. كما يسحب كل كلمة مرور Wi-Fi محفوظة بنص عادي. وعند وجود محافظ للعملات المشفرة، يحاول كسر خزائنها مباشرة بدلاً من نسخها فقط.

بناء ملف تعريف الهدف

تبني البرمجية الخبيثة حزمة أدلة تحتوي على الموقع الجغرافي وعنوان المنزل، وصاحب العمل ونطاق صاحب العمل، وسنة الميلاد المقدرة، وبيانات وصفية لتأليف المستندات، والأرقام الأربعة الأخيرة من بطاقات الدفع. وتجري أيضاً إثراءً فورياً باستخدام جلسات مسروقة: تبحث في Gmail عن إيصالات من Amazon وDoorDash وUber Eats وGrubhub وWalmart وPayPal لتأكيد عنوان المنزل، وتسحب سجلات طلبات Uber Eats وDoorDash، وتعيد استخدام رمز Discord مسروق لاستكمال ملف الضحية، وتقيّم عناصر Roblox عبر Rolimons. قائمة السرقة معيارية نسبياً لبرنامج سرقة، لكن مرور الإثراء هذا يحوّل البيانات الخاملة إلى شيء خطير.

تقييم الذكاء الاصطناعي والإرسال خارج النظام

محلياً، تُجمَّع البيانات في Identity_Report.txt وتُسلسل إلى JSON، ثم تُرسل عبر POST إلى OpenRouter مع موجه نظام. ويُطلب من النموذج تقييماً موجزاً لملاءمة الضحية كهدف، مع الاستناد إلى مراجع، بما في ذلك تحليل opsec لوضع الأمان العام ونظافة كلمات المرور. ويُحفظ أي رد في AI_Analysis.txt، ويُرسل الملفان معاً في أرشيف volta_dox.zip عبر اتصال شبكي خاص بالضحية. افتراضياً، يستخدم VOLTA Claude Opus 4.6 من Anthropic، وهو نموذج أقدم صدر في فبراير، بدرجة حرارة 0.2. ويبحث عن عبارات رفض وإجابات مختصرة، ثم ينتقل بالترتيب إلى Kimi K2 من Moonshot AI وGemini 2.5 Flash من Google. وإذا لم يُوفَّر مفتاح OpenRouter API، يمكنه إرسال الملف عبر Telegram دون بيانات الذكاء الاصطناعي.

تصميم إعادة البيع والدفاعات والتنظيف

يبدو أن VOLTA مصمم لإعادة البيع، باستخدام قالب يتضمن ستة خانات قابلة للتبديل لقناة Telegram مخصصة، ومفاتيح API، وإعدادات تُملأ وقت البناء. بيانات اعتماد الخانات مشفرة لكن يمكن استردادها من الملف. ويحصل العميل على تقييمات أهداف مرتّبة في صندوق Telegram الخاص به دون الاعتماد على بنية تحتية مملوكة للمهاجم، والاختناقات تقع على الخدمات. ويعتمد كثير من سرقة الرموز على تجاوز App-Bound Encryption في Chrome عبر تشغيل Chrome headless؛ وتمنع سياسة التحكم في التطبيقات التي تحد من العمليات التي يمكنها تشغيل Chrome headless هذا المسار، مع أن ذلك لا يوقف سرقات أخرى، أو مرحلة الذكاء الاصطناعي، أو الإرسال خارج النظام. ويلاحظ التقرير أيضاً أن استخدام VOLTA للذكاء الاصطناعي ضيق نسبياً مقارنةً ببرمجيات خبيثة مدعومة بالذكاء الاصطناعي بالكامل، وقد تصبح مقاومة الرفض متطلباً تصميمياً قياسياً. وتشمل الأمثلة السابقة زرعة Windows في سبتمبر مبنية حول ما يصل إلى أربعة LLMs تصوت على حركتها التالية، وآخر أُبلغ عنه هذا الأسبوع يمكنه الرجوع إلى مفتاح OpenAI API الخاص بالضحية. وبعد الإصابة، قد يبقى سجل volta_debug.txt ويُظهر ما جُمع وما إذا نجح استدعاء LLM. ويجب على الضحايا إلغاء أو تدوير جميع مفاتيح API والرموز وتغيير كلمات المرور بغض النظر عن التعرض، ونقل الأموال من أي محفظة خُزنت عبارة seed الخاصة بها بنص عادي إلى محفظة جديدة بـ seed جديد، ويفضل أن تُنشأ على جهاز معزول عن الشبكة.

المصادر: Tom's Hardware