VOLTA Infostealer משתמש ב-LLM לדרג נכסים גנובים של קורבן

VOLTA-AUTODOXER הוא infostealer ל-Windows שמוחק את עצמו, אוסף אישורי התחברות, הפעלות, ארנקי מטבעות קריפטוגרפיים ונתוני מערכת נוספים, ואז שולח חבילת ראיות מובנית למודל שפה גדול כדי לדרג את נכסי הקורבן לפי ערך מונטיזציה. התוכנה הזדונית משתמשת בשרשרת מודלים חלופיים אם מודל מסרב לבצע את הערכת היעד. אין מאחוריה תשתית בבעלות התוקף.

מה VOLTA אוסף

במעבר אחד יכול VOLTA לחלץ אישורי דפדפן, קובצי cookie וכרטיסי תשלום שמורים בכל הדפדפנים מבוססי Chromium. הוא גם מכוון לפרופילים של Firefox, Thunderbird ו-Outlook, למרחבי עבודה של Slack, להפעלות Steam ו-Battle.net, לאסימוני Discord, להפעלות Telegram, לחשבונות Roblox, לקובצי תצורה של SSH וספק ענן, לסיסמאות Wi-Fi ולצילומי מסך. הוא מריץ כלי פציחה מוטמע כנגד כספות של ארנקי קריפטו ורושם את התוצאה בדוח.

הערכת הקורבן באמצעות בינה מלאכותית

לאחר האיסוף בונה VOLTA חבילת ראיות מובנית הכוללת מיקום גיאוגרפי, כתובת מגורים, מעסיק ותחום המעסיק, שנת לידה משוערת, ארבע הספרות האחרונות של הכרטיס, מרחבי עבודה של Slack, מטא-נתונים של מחבר המסמך, סימנים לגיבוי iPhone והערכת שווי עדכנית של חשבון Roblox. הוא מעשיר את החבילה באמצעות הפעלות גנובות, ובהן קבלות רכישה מ-Gmail, היסטוריית הזמנות מ-Uber Eats ומ-DoorDash, נתוני פרופיל Discord והערכת שווי מלאי Roblox. החבילה עוברת סריאליזציה ל-JSON ונשלחת ל-OpenRouter עם הנחיית מערכת שמבקשת מהמודל לפעול כאנליסט מודיעין פורנזי המכין הערכת יעד. הפלט הנדרש כולל פרק שמדרג חפצי ערך לפי מונטיזציה לרמות נמוכה, בינונית וגבוהה, וכן הערכה של מצב האבטחה והיגיינת הסיסמאות של הקורבן.

שרשרת מודלים חלופיים והדלפת הנתונים

מודל ברירת המחדל הוא anthropic/claude-opus-4.6, עם מעבר חלופי ל-moonshotai/kimi-k2 ואחר כך ל-google/gemini-2.5-flash. VOLTA בודק את התשובות אחר ביטויי סירוב ומשתמש בטמפרטורה מקודדת של 0.2. ההסקה מתבצעת דרך חיבור הרשת של הקורבן עצמו, לפני שהתוצאות מודלפות. קובצי הפלט יכולים לכלול את volta_log.zip, volta_dox.zip ו-volta_doxnet.zip, בהתאם לתוצאות האיסוף וההעשרה.

אמצעי הגנה

מגינים יכולים להגביל אילו תהליכים רשאים להפעיל את Chrome עם --headless, וכך לחסום את מסלול עקיפת ה-App-Bound Encryption. אם יש חשד לחדירה, על המשתמשים לשמור את APPDATA%\volta_debug.txt, לבטל אסימונים שאולי נפגעו, להחליף סיסמאות, ולהתייחס לכל ארנק שמשפט השחזור שלו היה בטקסט גלוי כאל ארנק שנפרץ לחלוטין.

מקורות: blog.talosintelligence.com