Новий інфостілер використовує ШІ для профілювання жертв, виявили Cisco Talos

Дослідники Cisco Talos виявили новий шкідливий інфостілер під назвою Volta-Autodoxer, який використовує комерційні моделі ШІ для аналізу викрадених даних і профілювання жертв. Шкідливе ПЗ збирає широкий набір облікових даних і даних сеансів, а потім передає свої висновки в інструменти ШІ через OpenRouter, де за замовчуванням використовується модель Anthropic Claude Opus 4.6. Talos не відстежував, чи використовували цей інфостілер у реальних атаках.

Як Volta збирає дані

Volta шукає паролі, збережені в браузерах, токени Microsoft OAuth, файли cookie, платіжні картки, сід-фрази криптогаманців, а також активні сеанси Discord, Telegram, Steam і Roblox. Далі вона виконує глибший пошук через Gmail або інший центральний обліковий запис жертви, формуючи повнішу картину жертви, її місцезнаходження та звичок за даними на кшталт чеків і історії замовлень із сервісів UberEats і DoorDash. Шкідливе ПЗ компілює свої висновки в серіалізований досьє і надсилає їх моделям LLM, просячи їх виступити як аналітик розвідки і створити структуровану оцінку з посиланнями на джерела.

Аналіз ШІ та резервні моделі

Volta використовує OpenRouter, сервіс, який може надсилати запити до кількох постачальників ШІ. За замовчуванням запити надходять до Anthropic Claude Opus 4.6. Якщо захисні обмеження моделі блокують діяльність, вона переходить до Moonshot AI Kimi K2, а якщо це не вдається, до Google Gemini 2.5 Flash. Творці включили запит довжиною 240 слів, у якому просили чат-бота виступити як форензичний аналітик розвідки і створити виконавче резюме, подробиці про те, чим займається людина, скільки вона коштує, та резюме її операційної безпеки. У запиті також сказано зіставляти факти між полями, наприклад перевіряти, чи збігається пароль Wi-Fi з прізвищем, і копати глибоко, а не широко.

Наслідки для кіберзлочинності

Talos позначив цей інфостілер за допомогою свого фреймворку CAIRN, створеного для виявлення хакерських інструментів, що включають можливості ШІ. Раян Феттерман, дослідник безпеки в Cisco Talos, сказав, що Volta містить ознаки того, що її могли створити для продажу різним атакувальникам, а не для кампаній одного конкретного актора. Виклики ШІ необов'язкові, і шкідливе ПЗ може працювати без них. Феттерман сказав, що здатність швидше виявляти цінні цілі може допомогти атакувальникам використати облікові дані або викрадені токени до того, як вони спливають або їх змінять, і що дедалі складніші можливості стають доступними атакувальникам із нижчим рівнем майстерності.

Джерела: Wired