Cisco Talos повідомила про Windows-стілер VOLTA з оцінкою жертв через ШІ
Cisco Talos повідомила про Windows-шкідник VOLTA, який передає викрадені дані ШІ для оцінювання цінності активів жертв.
Дослідницька група Cisco Talos повідомила про Windows-шкідник VOLTA-AUTODOXER, який збирає дані з пристрою жертви та передає їх мовній моделі для оцінювання активів за потенційною цінністю. Як повідомляє Tom's Hardware, за замовчуванням шкідлива програма використовує Claude Opus 4.6 через сервіс OpenRouter.
VOLTA збирає паролі, файли cookie та дані платіжних карток із браузерів, профілі електронної пошти Thunderbird і Outlook, токени Microsoft OAuth, скриншоти, конфігурації SSH і хмарних сервісів. Також програма викрадає збережені Wi‑Fi-паролі, дані криптогаманців, облікові записи Roblox і може намагатися зламати сховища криптогаманців.
Оцінка даних жертви
Зібрану інформацію шкідник формує у досьє, яке може містити геолокацію, домашню адресу, відомості про роботодавця, приблизний рік народження, метадані авторства документів і останні чотири цифри платіжних карток. У запиті до ШІ модель просять підготувати стислу оцінку придатності людини як цілі та ранжувати її активи за можливістю монетизації.
За даними Cisco Talos, VOLTA може використовувати викрадені сесії для додаткового збагачення досьє: шукати в Gmail чеки Amazon, DoorDash, Uber Eats, Grubhub, Walmart і PayPal, перевіряти історію замовлень у сервісах доставки, отримувати профіль у Discord та оцінювати предмети Roblox через Rolimons.
Альтернативні моделі та видалення файлів
Спочатку зібрані відомості зберігаються локально у файлі Identity Report.txt і JSON-форматі. Відповідь моделі записується до AI Analysis.txt, після чого обидва файли, за описом дослідників, надсилаються у ZIP-архіві. Якщо Claude відмовляється відповідати або надає надто коротку відповідь, програма здатна послідовно переключатися на Kimi K2 та Gemini 2.5 Flash.
Якщо оператор не надає API-ключ OpenRouter, VOLTA може переслати зібране досьє через Telegram без ШІ-аналізу. Дослідники також зазначили, що основний виконуваний файл після зараження може видалити себе, тоді як файл volta debug.txt здатен зберегтися і містити журнал зібраних даних та інформацію про успішність звернення до мовної моделі.
