AI-ով աշխատող Windows VOLTA-AUTODOXER ինֆոսթիլերը Claude-ով դասակարգում է զոհերի ակտիվները

Cisco Talos-ը հայտնում է VOLTA-AUTODOXER ինքնաջնջվող Windows ինֆոսթիլերի մասին, որը զոհի համակարգչից գողանում է լայն տվյալներ, հարստացնում է դրանք և լռելյայն Anthropic-ի Claude-ով խնդրում դասակարգել զոհի ակտիվները կանխիկացման արժեքով։ Այն կարող է անցնել այլ մոդելների, եթե մեկը մերժի, կամ բաց թողնել AI քայլը։ Վարակումից հետո ջնջում է հիմնական կատարվող ֆայլը, իսկ վրիպազերծման մատյանը կարող է մնալ։

Ինչ է գողանում չարամիտ ծրագիրը

VOLTA-ն գողանում է դիտարկիչի գաղտնաբառերը, քուքիները և պահպանված վճարային քարտերը, Thunderbird ու Outlook պրոֆիլները, Roblox հաշիվները, Microsoft OAuth թոքենները, էկրանային նկարները, SSH և ամպային կոնֆիգուրացիոն ֆայլերը, ինչպես նաև բոլոր Wi-Fi գաղտնաբառերը բաց տեքստով։ Կրիպտոարժույթի դրամապանակներ լինելիս փորձում է տեղում կոտրել դրանց պահոցները, ոչ միայն պատճենել։

Թիրախի պրոֆիլի կազմում

Կազմում է ապացույցների փաթեթ՝ աշխարհագրական դիրք, տնային հասցե, գործատու և դոմեն, ենթադրյալ ծննդյան տարի, փաստաթղթի հեղինակության մետատվյալներ և վճարային քարտերի վերջին չորս թվանշաններ։ Կատարում է կենդանի հարստացում գողացված սեսիաներով. Gmail-ում որոնում է Amazon, DoorDash, Uber Eats, Grubhub, Walmart և PayPal անդորրագրեր՝ տնային հասցեն հաստատելու համար, հանում է Uber Eats և DoorDash պատվերների պատմությունը, վերաօգտագործում է գողացված Discord թոքենը պրոֆիլը լրացնելու համար և գնահատում է Roblox իրերը Rolimons-ով։ Գողության ցանկը ստանդարտ է սթիլերի համար, բայց այս փուլը պասիվ տվյալները դարձնում է վտանգավոր։

AI գնահատում և արտահանում

Տեղում տվյալները հավաքվում են Identity_Report.txt տեսքով, սերիալիզացվում JSON-ով և POST-ով ուղարկվում OpenRouter-ին՝ համակարգային հուշումով։ Մոդելից խնդրում են զոհի՝ որպես թիրախ հարմար լինելու կարճ գնահատում մեջբերումներով, այդ թվում opsec վերլուծություն անվտանգության դիրքի և գաղտնաբառերի հիգիենայի մասին։ Պատասխանը պահպանվում է AI_Analysis.txt անունով, և երկու ֆայլերը միասին արտահանվում են volta_dox.zip-ով՝ զոհի ցանցային կապով։ Լռելյայն VOLTA-ն օգտագործում է Anthropic-ի Claude Opus 4.6-ը (փետրվարյան ավելի հին մոդել) 0.2 ջերմաստիճանում, փնտրում է մերժման արտահայտություններ և նոսր պատասխաններ, ապա անցնում է Moonshot AI-ի Kimi K2-ին և Google-ի Gemini 2.5 Flash-ին։ Առանց OpenRouter API բանալու կարող է դոսյեն ուղարկել Telegram-ով՝ առանց AI տվյալների։

Վերավաճառքի նախագծում, պաշտպանություն և մաքրում

VOLTA-ն նախագծված է վերավաճառքի համար. կաղապարը ունի վեց փոխարինվող դաշտ Telegram ալիքի, API բանալիների և կարգավորումների համար, որոնք լրացվում են կառուցման ժամանակ։ Դաշտերի հավատարմագրերը գաղտնագրված են, բայց վերականգնվում են ֆայլից։ Հաճախորդը ստանում է դասակարգված գնահատումներ Telegram-ում՝ առանց հարձակվողի ենթակառուցվածքից կախվածության; սահմանափակումները ծառայությունների վրա են։ Թոքենների գողությունը հիմնականում շրջանցում է Chrome-ի App-Bound Encryption-ը՝ Chrome-ը headless ռեժիմով գործարկելով; հավելվածների վերահսկման քաղաքականությունը, որը սահմանափակում է այդ գործարկումը, փակում է այդ ուղին, բայց չի դադարեցնում մնացած գողությունը, AI փուլը կամ արտահանումը։ Զեկույցը նշում է, որ VOLTA-ի AI օգտագործումը համեմատաբար նեղ է՝ համեմատած ամբողջովին AI-ով աջակցվող չարամիտ ծրագրերի հետ, իսկ մերժման կայունությունը կարող է դառնալ ստանդարտ նախագծային պահանջ։ Ավելի վաղ օրինակներից են սեպտեմբերի Windows իմպլանտը՝ մինչև չորս LLM-ների քվեարկությամբ հաջորդ քայլի շուրջ, և այս շաբաթ հաղորդված ևս մեկը, որը կարող է վերադառնալ զոհի սեփական OpenAI API բանալուն։ Վարակումից հետո volta_debug.txt-ը կարող է մնալ և ցույց տալ հավաքվածը և LLM կանչի հաջողությունը։ Զոհերը պետք է չեղարկեն կամ թարմացնեն բոլոր API բանալիներն ու թոքենները, փոխեն գաղտնաբառերը՝ անկախ բացահայտումից, և տեղափոխեն միջոցները բաց տեքստով seed ունեցող դրամապանակից դեպի նոր դրամապանակ՝ նոր seed-ով, նախընտրելիորեն ցանցից մեկուսացված սարքի վրա։

Աղբյուրներ: Tom's Hardware