Cisco Talos: נוזקת Volta-Autodoxer בונה פרופיל קורבנות באמצעות בינה מלאכותית

חוקרי Cisco Talos זיהו זן חדש של נוזקת infostealer בשם Volta-Autodoxer, המשתמשת במודלים מסחריים של בינה מלאכותית כדי לנתח נתונים גנובים ולבנות פרופיל של קורבנות. הנוזקה אוספת מגוון רחב של אישורים ונתוני הפעלה, ואז מזינה את ממצאיה לכלים של בינה מלאכותית דרך OpenRouter, כאשר Anthropic Claude Opus 4.6 הוא מודל ברירת המחדל. Talos לא עקבה אם הנוזקה הופעלה בשטח.

כיצד Volta אוספת נתונים

Volta סורקת סיסמאות השמורות בדפדפנים, אסימוני Microsoft OAuth, קובצי cookie, כרטיסי תשלום, ביטויי seed של ארנקים לקריפטו, וסשנים פעילים של Discord, Telegram, Steam ו-Roblox. לאחר מכן היא מבצעת סריקה מעמיקה יותר דרך Gmail של היעד או חשבון מרכזי אחר, ובונה תמונה מלאה יותר של הקורבן, מיקומו והרגליו, באמצעות נתונים כגון קבלות והיסטוריית הזמנות משירותים כמו UberEats ו-DoorDash. הנוזקה מרכזת את ממצאיה בקובץ סריאלי ומעבירה אותם למודלי LLM, ומבקשת מהם לפעול כמו אנליסט מודיעין ולהפיק הערכה מובנית המבוססת על ציטוטים.

ניתוח הבינה המלאכותית ומנגנוני הגיבוי

Volta משתמשת ב-OpenRouter, שירות שיכול לשלוח בקשות לכמה ספקי בינה מלאכותית. כברירת מחדל היא מפנה בקשות ל-Claude Opus 4.6 של Anthropic. אם מנגנוני ההגנה של המודל חוסמים את הפעולה, היא עוברת ל-Kimi K2 של Moonshot AI, ואם גם זה נכשל, ל-Gemini 2.5 Flash של Google. היוצרים שילבו הנחיה באורך 240 מילים, הכוללת נקודות ורשימה ממוספרת, כחלק מההוראות לכל מודל שמנתח את הנתונים. ההנחיה מורה לצ'אטבוט להפיק תקציר מנהלים על האדם, פרטים על מה שהוא עושה, מה שוויו וסיכום של ה-opsec שלו. היא מוסיפה שעל הצ'אטבוט לחבר נקודות בין שדות, למשל לבדוק אם סיסמת ה-Wi-Fi תואמת את שם המשפחה, וללכת לעומק ולא לרוחב.

השלכות על פשעי סייבר

Talos סימנה את הנוזקה באמצעות מסגרת CAIRN החדשה שלה, שנבנתה כדי לזהות כלי פריצה המשלבים יכולות בינה מלאכותית. ריאן פטרמן, חוקר אבטחה ב-Cisco Talos, אמר ש-Volta מכילה רמזים לכך שייתכן שנבנתה למכירה למגוון תוקפים ולא עבור הקמפיינים של שחקן ספציפי אחד. קריאות הבינה המלאכותית הן אופציונליות והנוזקה יכולה לפעול גם בלעדיהן. פטרמן אמר שהיכולת לזהות מטרות בעלות ערך גבוה מהר יותר יכולה לעזור לתוקפים להשתמש באישורים או באסימונים גנובים לפני שפג תוקפם או לפני שהסיסמאות מוחלפות, ושהיכולות המתקדמות יותר הופכות לנגישות לתוקפים ברמת תחכום נמוכה יותר.

מקורות: Wired