VOLTA-AUTODOXER: новый вирус с ИИ для атаки на пользователей Windows

Новая вредоносная программа VOLTA-AUTODOXER для операционной системы Windows использует возможности искусственного интеллекта для оценки потенциальной выгоды от атак на зараженных пользователей. После сбора всех доступных данных на скомпрометированном компьютере вредонос обращается к LLM-моделям, чтобы выбрать наиболее перспективную и финансово выгодную цель для хакеров.

• Вредонос использует модель Claude от Anthropic по умолчанию, а при отказе переключается на Kimi K2 или Gemini 2.5 Flash.
• Программа собирает геолокацию, домены работы, данные банковских карт и пытается взломать криптокошельки.
• VOLTA распространяется как сервис (Maas) с генерацией готовых исполняемых файлов под нужды злоумышленников.

Принцип работы и анализ через ИИ

Как сообщает исследовательская группа Cisco Talos, VOLTA применяет специальный системный промпт, заставляющий искусственный интеллект действовать в роли аналитика разведданных. Модель должна оценить уровень защищенности жертвы, качество используемых паролей и выдать обоснованное заключение о целесообразности атаки. Если базовая модель отказывается обрабатывать вредоносный запрос, программа автоматически переключается на альтернативные нейросети от Google или Moonshot AI.

Помимо текстового анализа, вредоносное ПО выполняет глубокий сбор конфиденциальных данных. В пакет похищенной информации входят геолокация, домашний адрес, корпоративный домен, предполагаемый год рождения, метаданные документов и последние цифры банковских карт. Обнаруженные криптокошельки подвергаются попыткам взлома прямо во время работы вредоноса на зараженном устройстве, что увеличивает ущерб для владельца компьютера.

Архитектура MaaS и обход защиты

Архитектура VOLTA построена по модели «вредоносное ПО как услуга» (MaaS), что позволяет злоумышленникам настраивать индивидуальные параметры сборки, включая Telegram-каналы и API-ключи для получения готовых досье. Это избавляет покупателей вируса от необходимости развертывать собственную сложную инфраструктуру для сбора и фильтрации украденной информации.

Для обхода современных средств защиты, включая App-Bound Encryption в браузере Google Chrome, вредонос запускает браузер в headless-режиме без графического интерфейса. Хотя специальные политики контроля приложений могут заблокировать этот вектор дешифровки, они не способны полностью остановить кражу других данных или предотвратить запросы к внешним API искусственного интеллекта.

Что это значит для пользователей и безопасности

Появление подобных угроз демонстрирует новый тренд на автоматизацию киберпреступности с использованием языковых моделей для приоритизации целей. Злоумышленники стремятся атаковать наиболее состоятельных или уязвимых пользователей Windows, минимизируя ручной труд при анализе украденных баз данных.

После завершения работы основной файл вредоноса может самоудалиться, однако в системе остается отладочный файл с логами. Обнаружение таких следов требует немедленной смены всех паролей, отзыва API-ключей и токенов доступа, а также полного аудита безопасности зараженной рабочей станции.