VOLTA: новый инфостиллер использует ИИ для оценки жертв

Информационный стиллер под названием VOLTA представляет собой зрелую вредоносную программу с дополнительным слоем интеграции искусственного интеллекта. После кражи учетных данных, сеансов и криптовалютных кошельков, VOLTA отправляет структурированный пакет данных в LLM для оценки активов жертвы по степени их потенциальной монетизации.

• VOLTA использует языковые модели через OpenRouter для автоматического создания досье на жертв.
• Программа ранжирует ценность украденных данных по категориям низкого, среднего и высокого уровня.
• Вредонос использует цепочку из нескольких моделей на случай отказа основных систем отвечать на запросы.
• Стилер самостоятельно удаляется после завершения работы и не использует собственную инфраструктуру злоумышленников.

Автоматизированный анализ и профилирование жертв

Новый вредонос, обнаруженный в рамках исследовательских усилий CAIRN и получивший название VOLTA-AUTODOXER, автоматизирует процесс постобработки украденных данных. Пакет информации сериализуется и отправляется через POST-запрос на OpenRouter. Системный промпт инструктирует модель действовать в качестве эксперта по судебной экспертизе, который оценивает пригодность цели и уровень безопасности жертвы.

Модель обрабатывает сырые логи учетных данных и формирует структурированное досье, содержащее разделы о ценности активов и гигиене паролей. Использование низкой температуры модели на уровне 0.2 гарантирует точность и предсказуемость генерируемого текста. При срабатывании защитных фильтров безопасности и отказах модели, вредонос задействует каскадную цепочку резервных моделей.

Обогащение данных и многоуровневая архитектура

Дополнительной особенностью VOLTA является этап активного обогащения данных с использованием украденных сеансов. Вредонос подключается к почтовым ящикам через аутентифицированные токены Gmail, проверяет чеки от Amazon, Uber Eats и других сервисов для подтверждения домашнего адреса. Также проверяются игровые инвентари и профили в Discord перед созданием финального отчета.

Вредоносное ПО распространяется по модели конструктора, когда клиенты покупают доступ и вставляют собственные параметры в шаблоны при сборке. Использование сторонней инфраструктуры вроде OpenRouter и Telegram исключает необходимость развертывания собственных серверов управления, что затрудняет отслеживание организаторов кибератак.

Значение для безопасности и защиты пользователей

Появление подобных угроз демонстрирует сдвиг в киберпреступности, где искусственный интеллект заменяет рутинную аналитическую работу злоумышленников. Вместо ручной сортировки огромных массивов украденных данных операторы используют автономные агенты для мгновенной приоритизации целей.

Для защиты от таких атак рекомендуется применять политики контроля приложений, ограничивающие запуск браузеров в фоновом режиме для обхода шифрования App-Bound Encryption. В случае компрометации пользователям необходимо немедленно отзывать скомпрометированные токены, менять пароли и мигрировать криптовалютные активы на новые безопасные кошельки.