Вредонос VOLTA использует Claude для оценки стоимости жертв

Исследователи безопасности из Cisco Talos обнаружили новый вредонос для операционной системы Windows под названием VOLTA-AUTODOXER. Эта программа способна автоматически удалять себя после сбора максимально возможного объема информации с зараженного компьютера пользователя. Главной особенностью угрозы является интеграция искусственного интеллекта для анализа и оценки финансовой привлекательности украденных данных.

• Вредонос собирает стандартный пакет данных, включая токены, куки и учетные записи, а затем формирует структурированный отчет в формате JSON.
• Для оценки жертвы используется модель Claude Opus 4.6 через сервис OpenRouter, выступающая в роли судебного аналитика.
• VOLTA умеет обходить ограничения безопасности и автоматически переключаться на другие модели, такие как Kimi K2 или Gemini 2.5 Flash, при отказах.
• После завершения всех операций вредоносное ПО может полностью стереть себя из системы, оставляя злоумышленникам готовый отчет в Telegram.

Принцип работы и обогащение данных

Процесс заражения не ограничивается простым копированием файлов из браузеров или мессенджеров. Вредонос проводит глубокое обогащение собранной информации, используя украденные сессии и токены в режиме реального времени. Например, VOLTA сканирует почту Gmail в поисках чеков от сервисов доставки еды и маркетплейсов для подтверждения домашнего адреса, а также оценивает виртуальные игровые предметы на специализированных площадках.

Полученные данные упаковываются в архив и отправляются через OpenRouter вместе со специальным системным промптом. Низкий параметр температуры 0.2 гарантирует высокую предсказуемость ответов языковой модели. Полученный от ИИ отчет вместе с исходными логами отправляется злоумышленникам через Telegram, избавляя их от необходимости содержать собственную инфраструктуру для обработки данных.

Защита от обнаружения и перспективы ИИ-угроз

Для извлечения конфиденциальных данных из браузера Google Chrome вредонос использует обход защиты App-Bound Encryption путем запуска браузера в фоновом режиме без графического интерфейса. Эксперты отмечают, что внедрение политик контроля приложений, блокирующих такой запуск, может существенно снизить риски успешной атаки, хотя и не решит проблему полностью.

Использование искусственного интеллекта в киберпреступности стремительно эволюционирует от ручных экспериментов к автоматизированным конвейерам. Способность вредоносного ПО самостоятельно переключаться между языковыми моделями в случае цензурного отказа показывает новый уровень технологической подготовки создателей подобных зловредов для атак на пользователей Windows.