Süni intellekt əsaslı Windows infostealer-i VOLTA-AUTODOXER qurbanların aktivlərini Claude ilə dəyərləndirir

Cisco Talos, qurbanın PC-sindən geniş məlumat oğurlayan, onu zənginləşdirən və süni intellekt modelindən, susmaya görə Anthropic-in Claude modelindən, qurbanın aktivlərini nağdlaşdırma dəyərinə görə sıralamaq istəyən özünü silən Windows infostealer-i VOLTA-AUTODOXER barədə xəbər verir. Zərərli proqram bir model imtina etsə, digər modellərə keçə bilər və ya süni intellekt mərhələsini tamamilə ötürə bilər. O, infeksiyadan sonra əsas icra faylını silir, lakin debug jurnalı qala bilər.

Zərərli proqram nə oğurlayır

VOLTA brauzer parollarını, kukiləri və yadda saxlanılmış ödəniş kartlarını, Thunderbird və Outlook e-poçt profillərini, Roblox hesablarını, Microsoft OAuth tokenlərini, ekran görüntülərini, həmçinin SSH və bulud provayderi konfiqurasiya fayllarını oğurlayır. O, həmçinin yadda saxlanılmış bütün Wi-Fi parollarını açıq mətn şəklində əldə edir. Kriptovalyuta cüzdanları mövcud olduqda, o, onları yalnız kopyalamaq əvəzinə vault-larını yerində açmağa çalışır.

Hədəf profili qurulması

Zərərli proqram coğrafi yerləşmə və ev ünvanı, iş yeri və iş yeri domeni, təxmin edilmiş doğum ili, sənəd müəllifliyi metadata-sı və ödəniş kartlarının son dörd rəqəmini ehtiva edən sübut dəstini yaradır. O, həmçinin oğurlanmış sessiyalardan istifadə edərək canlı zənginləşdirmə aparır: ev ünvanını təsdiqləmək üçün Gmail-də Amazon, DoorDash, Uber Eats, Grubhub, Walmart və PayPal qəbzlərini axtarır, Uber Eats və DoorDash sifariş tarixçələrini çəkir, qurbanın profilini doldurmaq üçün oğurlanmış Discord tokenindən yenidən istifadə edir və Rolimons vasitəsilə Roblox əşyalarını dəyərləndirir. Oğurluq siyahısı stealer üçün nisbətən standartdır, lakin bu zənginləşdirmə mərhələsi passiv məlumatı təhlükəli bir şeyə çevirir.

AI qiymətləndirməsi və eksfiltrasiya

Yerli olaraq məlumat Identity_Report.txt kimi yığılır və JSON formatına serializasiya edilir, sonra sistem prompt ilə OpenRouter-ə POST edilir. Modeldən sitatlarla dəstəklənən, qurbanın hədəf kimi uyğunluğu barədə qısa qiymətləndirmə, o cümlədən ümumi təhlükəsizlik vəziyyəti və parol gigiyenası üzrə opsec analizi istənilir. Hər hansı cavab AI_Analysis.txt kimi saxlanılır və hər iki fayl qurbanın öz şəbəkə bağlantısı üzərindən volta_dox.zip arxivində birlikdə eksfiltrasiya edilir. Susmaya görə VOLTA Anthropic-in Claude Opus 4.6 modelindən, fevralda buraxılmış köhnə modeldən, 0.2 temperaturda istifadə edir. O, imtina ifadələrini və az məzmunlu cavabları axtarır, sonra Moonshot AI-nın Kimi K2 və Google-ın Gemini 2.5 Flash modellərinə keçir. OpenRouter API açarı verilməyibsə, o, dosyeni süni intellekt məlumatı olmadan Telegram üzərindən göndərə bilər.

Satış üçün dizayn, müdafiə və təmizlik

VOLTA satış üçün nəzərdə tutulmuş görünür; o, xüsusi Telegram kanalı, API açarları və parametrlər üçün altı dəyişdirilə bilən slotu olan şablon istifadə edir və bu slotlar build zamanı doldurulur. Slot etimadnamələri şifrələnir, lakin fayldan bərpa oluna bilər. Müştəri hücumçuya məxsus infrastruktura güvənmədən Telegram gələnlər qutusunda sıralanmış hədəf qiymətləndirmələri alır və boğaz nöqtələri xidmətlərdədir. Token oğurluğunun böyük hissəsi Chrome-u headless işə salmaqla Chrome-un App-Bound Encryption mexanizmini keçməkdən asılıdır; hansı proseslərin Chrome-u headless işə sala biləcəyini məhdudlaşdıran tətbiq-nəzarət siyasəti bu yolu bağlayır, lakin o, digər oğurluğu, süni intellekt mərhələsini və ya eksfiltrasiyanı dayandırmır. Hesabat həmçinin qeyd edir ki, VOLTA-nın süni intellekt istifadəsi tamamilə süni intellekt əsaslı zərərli proqramla müqayisədə nisbətən dardır və imtinaya davamlılıq standart dizayn tələbinə çevrilə bilər. Əvvəlki nümunələrə sentyabrda növbəti hərəkəti barədə səsvermə aparmaq üçün dördədək LLM ətrafında qurulmuş Windows implantı və bu həftə xəbər verilmiş, qurbanın öz OpenAI API açarına geri dönə bilən başqa bir nümunə daxildir. İnfeksiyadan sonra volta_debug.txt jurnalı qala bilər və nəyin toplandığını və LLM çağırışının uğurlu olub-olmadığını göstərə bilər. Qurbanlar məruz qalmadan asılı olmayaraq bütün API açarlarını və tokenləri ləğv etməli və ya yeniləməli, parolları dəyişdirməli, həmçinin seed ifadəsi açıq mətn şəklində saxlanılmış hər hansı cüzdanın vəsaitlərini yeni cüzdana köçürməlidirlər; yeni seed, üstünlük verilən halda, şəbəkədən təcrid edilmiş cihazda yaradılmalıdır.

Mənbələr: Tom's Hardware