AI-ზე დაფუძნებული Windows-ინფოსტილერი VOLTA-AUTODOXER მსხვერპლის აქტივებს Claude-ით ახარისხებს

Cisco Talos-ის ცნობით, თვითწაშლადი Windows-ინფოსტილერი VOLTA-AUTODOXER ფართო მონაცემებს იპარავს, მათ ამდიდრებს და AI მოდელს, ნაგულისხმევად Anthropic-ის Claude-ს, სთხოვს, აქტივები განაღდების ღირებულებით დაალაგოს. უარის შემთხვევაში სხვა მოდელზე გადადის ან AI-ს გამოტოვებს. ინფიცირების შემდეგ მთავარ აღმასრულებელ ფაილს შლის; debug ლოგი შეიძლება დარჩეს.

რას იპარავს

VOLTA იპარავს ბრაუზერის პაროლებს, cookie-ებს, შენახულ გადახდის ბარათებს, Thunderbird-ისა და Outlook-ის პროფილებს, Roblox-ის ანგარიშებს, Microsoft OAuth ტოკენებს, ეკრანის ანაბეჭდებს, SSH-ისა და ღრუბლოვანი პროვაიდერების კონფიგებს. ამოიღებს ყველა Wi-Fi პაროლს ღია ტექსტით. კრიპტოსაფულეების არსებობისას მათ საცავებს ადგილზევე ტეხავს და არა მხოლოდ აკოპირებს.

სამიზნის პროფილი

აგროვებს მტკიცებულებათა პაკეტს: გეოლოკაცია, სახლის მისამართი, დამსაქმებელი და დომენი, სავარაუდო დაბადების წელი, დოკუმენტების ავტორობის მეტამონაცემები, ბარათების ბოლო ოთხი ციფრი. მოპარული სესიებით ამდიდრებს: Gmail-ში ეძებს Amazon-ის, DoorDash-ის, Uber Eats-ის, Grubhub-ის, Walmart-ისა და PayPal-ის ქვითრებს მისამართის დასადასტურებლად, იწერს Uber Eats-ისა და DoorDash-ის ისტორიას, Discord-ის ტოკენით ავსებს პროფილს და Rolimons-ით აფასებს Roblox-ის ნივთებს. მოპარული მონაცემების სია სტანდარტულია, გამდიდრება კი პასიურ მონაცემებს საშიშს ხდის.

AI შეფასება და გატანა

მონაცემები იკრიბება Identity_Report.txt ფაილში, სერიალიზდება JSON-ად და system prompt-ით OpenRouter-ზე POST-ით იგზავნება. მოდელს სთხოვენ მოკლე, მითითებებით დასაბუთებულ შეფასებას, რამდენად ვარგისია მსხვერპლი სამიზნედ, opsec-ანალიზით უსაფრთხოებასა და პაროლების ჰიგიენაზე. პასუხი ინახება AI_Analysis.txt ფაილში; ორივე ფაილი გაიტანება volta_dox.zip არქივში მსხვერპლის ქსელით. ნაგულისხმევად გამოიყენება Anthropic-ის Claude Opus 4.6, თებერვალში გამოშვებული ძველი მოდელი, 0,2 ტემპერატურით. უარისა და მწირი პასუხების შემთხვევაში თანმიმდევრობით გადადის Moonshot AI-ის Kimi K2-ზე და Google-ის Gemini 2.5 Flash-ზე. OpenRouter API გასაღების გარეშე დოსიე Telegram-ით იგზავნება AI მონაცემების გარეშე.

გადაყიდვა, დაცვა, გაწმენდა

VOLTA გადაყიდვისთვისაა შექმნილი: შაბლონს აქვს ექვსი შესაცვლელი სლოტი მორგებული Telegram არხისთვის, API გასაღებებისა და პარამეტრებისთვის, რომლებიც აწყობის დროს ივსება. სლოტის მონაცემები დაშიფრულია, მაგრამ ფაილიდან ამოიღება. მომხმარებელი Telegram-ში იღებს რანჟირებულ შეფასებებს თავდამსხმელის ინფრასტრუქტურის გარეშე; სუსტი რგოლები სერვისებზეა. ტოკენების მოპარვა ხშირად Chrome-ის App-Bound Encryption-ის გვერდის ავლას ეყრდნობა headless გაშვებით; აპლიკაციების კონტროლის პოლიტიკა, რომელიც headless გაშვებას ზღუდავს, ამ გზას ბლოკავს, მაგრამ სხვა მოპარვას, AI ეტაპს ან გატანას არ აჩერებს. VOLTA-ს AI გამოყენება ვიწროა სრულად AI-დახმარებულ მავნე პროგრამებთან შედარებით; უარზე გამძლეობა შესაძლოა სტანდარტული მოთხოვნა გახდეს. ადრე იყო სექტემბრის Windows-იმპლანტი, რომელიც ოთხამდე LLM-ის პანელზეა აგებული (ესენი შემდეგ ნაბიჯზე ხმას აძლევენ), და ამ კვირას ცნობილი კიდევ ერთი, რომელსაც მსხვერპლის OpenAI API გასაღებზე გადასვლა შეუძლია. ინფიცირების შემდეგ შეიძლება დარჩეს volta_debug.txt ლოგი, სადაც ჩანს, რა შეგროვდა და წარმატებით დასრულდა თუ არა LLM-ის გამოძახება. მსხვერპლებმა გამომჟღავნების მიუხედავად უნდა გააუქმონ ან შეცვალონ ყველა API გასაღები და ტოკენი, შეცვალონ პაროლები და ნებისმიერი საფულიდან, სადაც seed phrase ღია ტექსტით ინახებოდა, თანხები გადაიტანონ ახალ საფულეში ახალი seed-ით, სასურველია ქსელისგან იზოლირებულ მოწყობილობაზე დაგენერირებული.

წყაროები: Tom's Hardware