VOLTA Infostealer використовує LLM для ранжування вкрадених активів жертви

VOLTA-AUTODOXER є самовидаляним Windows-інфостилером, що збирає облікові дані, сесії, криптовалютні гаманці та інші системні дані, а потім надсилає структурований набір доказів до великої мовної моделі для ранжування активів жертви за монетизаційною цінністю. Шкідливе ПЗ використовує ланцюг резервних моделей, якщо модель відмовляється оцінювати ціль. За ним не стоїть інфраструктура, що належить зловмиснику.

Що збирає VOLTA

За один прохід VOLTA може витягти облікові дані браузера, файли cookie та збережені платіжні картки в браузерах на базі Chromium. Вона також націлюється на профілі Firefox, Thunderbird, Outlook, робочі простори Slack, сесії Steam і Battle.net, токени Discord, сесії Telegram, облікові записи Roblox, файли конфігурації SSH та хмарних провайдерів, паролі Wi-Fi та знімки екрана. Вона запускає вбудований засіб зламу проти сховищ криптовалютних гаманців у процесі роботи та записує результат у свій звіт.

Профілювання жертви за допомогою ШІ

Після збирання VOLTA створює структурований набір доказів, що містить геолокацію, домашню адресу, роботодавця та домен роботодавця, припущення про рік народження, останні чотири цифри картки, робочі простори Slack, метадані авторства документів, ознаки резервних копій iPhone та актуальну оцінку облікового запису Roblox. Вона збагачує цей набір за допомогою вкрадених сесій, зокрема чеків про покупки Gmail, історії замовлень Uber Eats і DoorDash, даних профілю Discord та оцінки інвентарю Roblox. Набір серіалізується як JSON і надсилається до OpenRouter із системним запитом, що просить модель діяти як форензичний аналітик розвідки, який готує оцінку цілі. Обов'язковий результат містить розділ, що ранжує цінності за монетизацією на низький, середній і високий рівні, а також оцінку стану безпеки жертви та гігієни паролів.

Резервні моделі та ексфільтрація

Модель за замовчуванням: anthropic/claude-opus-4.6, із резервним переходом до moonshotai/kimi-k2, а потім google/gemini-2.5-flash. VOLTA перевіряє відповіді на фрази відмови та використовує жорстко задану температуру 0.2. Виведення відбувається через власне мережеве з'єднання жертви до того, як результати будуть ексфільтровані. Вихідні файли можуть містити volta_log.zip, volta_dox.zip і volta_doxnet.zip залежно від результатів збирання та збагачення.

Заходи протидії

Захисники можуть обмежити, які процеси можуть запускати Chrome із --headless, щоб заблокувати шлях обходу App-Bound Encryption. Якщо є підозра на компрометацію, користувачам слід зберегти APPDATA%\volta_debug.txt, відкликати потенційно скомпрометовані токени, змінити паролі та вважати будь-який гаманець із незашифрованою фразою відновлення повністю скомпрометованим.

Джерела: blog.talosintelligence.com