Стилер VOLTA использует ИИ для оценки жертв и самоудаляется

VOLTA использует ИИ для оценки ценности жертв

Вредоносное ПО VOLTA представляет собой зрелый стилер с опциональным слоем интеграции искусственного интеллекта. После кражи учетных данных, сессий и криптовалютных кошельков VOLTA отправляет структурированный пакет данных в большую языковую модель (LLM) для ранжирования активов жертвы по стоимости монетизации. Если модель отказывается выполнять оценку цели, VOLTA переключается на цепочку из трех моделей, что указывает на прямые инженерные усилия и ожидание срабатывания защитных механизмов модели. Этот стилер самоудаляется, и инфраструктура, принадлежащая злоумышленнику, отсутствует. Новизна в интеграции ИИ заключается в том, что он не поддерживает традиционную функциональность вредоносного ПО, а работает как аналитик разведки от имени оператора. В мире киберпреступности появилась новая идея: забросить широкую сеть, украсть всё, а ИИ пусть разбирается в деталях. Новое вредоносное ПО, названное "VOLTA-AUTODOXER", появилось в результате исследовательских усилий CAIRN. Это самоудаляющийся стилер для Windows, который дополняет свой рабочий процесс после кражи этапом профилирования жертв с использованием LLM.

VOLTA собирает и обогащает данные о жертве

После сбора стандартного набора данных стилера, включая пароли браузера, файлы cookie, платежные карты, сид-фразы криптовалютных кошельков, сессии Discord, Telegram, Steam и Roblox, токены Microsoft OAuth, ключи SSH и облачных провайдеров, профили Wi-Fi и снимки экрана, VOLTA создает структурированный пакет данных о человеке, сидящем за компьютером. Этот пакет содержит геолокацию и домашний адрес, работодателя и домен работодателя, предполагаемый год рождения, последние 4 цифры карты, рабочие пространства Slack, метаданные авторства документов, индикаторы резервного копирования iPhone и оценку стоимости активной учетной записи Roblox. Затем он использует украденный доступ к сессиям для дальнейшего обогащения этого пакета: поиск в Gmail жертвы квитанций о покупках для подтверждения домашнего адреса, извлечение истории заказов UberEats и DoorDash, а также обогащение учетных записей Discord через украденный токен. Пакет сериализуется и отправляется в OpenRouter под системным запросом, который инструктирует модель действовать как "аналитик криминалистической разведки, составляющий оценку цели". Требуемый вывод включает раздел "СКОЛЬКО ОНИ СТОЯТ" с ценностями, ранжированными по монетизации с низким/средним/высоким уровнем, и раздел "ИХ OPSEC", содержащий оценку состояния безопасности жертвы и гигиены паролей. Модель является аналитиком триажа оператора; она превращает необработанный журнал учетных данных в приоритезированное досье жертвы и ее монетизируемых активов с цитатами.

VOLTA использует цепочку LLM для оценки целей

Конфигурация ИИ VOLTA включает "Иди вглубь, а не вширь... Будь прямолинейным, конкретным, точным". VOLTA использует мультимодельную архитектуру для отказоустойчивого резервирования в случае отказа модели, проверяя каждый ответ на наличие фраз вроде "Я не могу" или "Я не способен", прежде чем передать его цепочке из трех моделей. Конечная точка — https://openrouter[.]ai/api/v1/chat/completions. Модель по умолчанию — anthropic/claude-opus-4.6. Резервная цепочка включает moonshotai/kimi-k2 и google/gemini-2.5-flash. Температура — 0.2, что обеспечивает детерминированный и последовательный вывод. Формат запроса — собранный вручную JSON, без SDK, с User-Agent Mozilla/5.0. Низкое значение температуры (0.2) предполагает, что злоумышленник делает упор на точность и последовательность. Вредоносное ПО также использует каскадную цепочку моделей на случай сбоев. Эта мультимодельная архитектура предполагает, что оператор ожидает столкнуться с отказами, а резервное копирование переключается на несколько меньших и более разрешительных моделей. Системный запрос напрямую раскрывает сценарий использования оператора: составить краткую аналитическую оценку пригодности жертвы в качестве цели, подкрепленную проверяемым списком цитат. Запрос также содержит необычную просьбу, но агенты преуспевают в ней: установление связей между разрозненными и несвязанными данными. Например, поощрение связей между именами жертв, адресами или университетами и шаблонами в их паролях. В данном случае модели не предлагается искать данные; вместо этого ей предлагается растянуть данные и сделать полезные выводы, которые расширяют ценность собранного.

VOLTA удаляет себя после выполнения задачи

VOLTA не просто копирует криптовалютные кошельки, а запускает встроенный взломщик против хранилища, записывая результат в строку WALLET VAULTS CRACKED в своем собственном отчете. Все сохраненные пароли Wi-Fi на машине извлекаются путем прямого вызова WlanGetProfileList и выводятся в открытом тексте. После завершения этапов сбора и обогащения данные собираются и структурируются локально в файле "Identity_Report.txt". Этот файл сериализуется в пакет в формате JSON и отправляется в OpenRouter вместе с системным запросом. Полученный ответ сохраняется как "AI_Analysis.txt". Оба файла передаются вместе в "volta_dox.zip". Передача данных может происходить в три этапа: 1) после запуска стилера ("volta_log.zip"), 2) после вызова ИИ ("volta_dox.zip"), 3) если сетевое обогащение дает какие-либо результаты ("volta_doxnet.zip"). Цикл вывода происходит полностью через собственное сетевое соединение жертвы, на ее машине, до эксфильтрации результата. В случае компрометации основной исполняемый файл мог удалить себя, но пользователям следует попытаться сохранить файл "APPDATA%\volta_debug.txt". Это журнал с временными метками, содержащий запись о том, что именно было собрано и успешно ли выполнен вызов LLM.