Исследователи Cisco Talos обнаружили новую разновидность вредоносной программы для кражи данных, которая использует искусственный интеллект для автоматического анализа заражённых устройств. Вредонос получил название Volta-Autodoxer — именно так он обозначает себя внутри системы. О результатах исследования сообщает Wired.
Такие программы обычно распространяются под видом нелицензионного или поддельного программного обеспечения. Они извлекают с компьютеров имена пользователей, пароли, токены аутентификации, файлы cookie, данные банковских карт и другую информацию. С помощью украденных учётных данных хакеры получили доступ к системам, связанным с масштабными утечками Snowflake, а также к данным AT&T, Ticketmaster и Disney. За последние годы инфостилеры похитили в общей сложности сотни миллионов учётных данных.
Volta собирает пароли из браузеров, токены Microsoft OAuth, файлы cookie, платёжные карты и фразы восстановления криптовалютных кошельков. Кроме того, программа ищет активные сеансы Discord, Telegram, Steam и Roblox. Такой набор функций, по оценке исследователей, особенно подходит для атак на молодых пользователей, которые активно пользуются цифровыми сервисами.
После первичного сбора Volta проводит дополнительную проверку. Вредонос обращается к Gmail или другой центральной учётной записи жертвы и по письмам, квитанциям и истории заказов в сервисах UberEats и DoorDash формирует более подробный профиль человека, включая сведения о его местоположении и привычках.
Затем собранные данные передаются через OpenRouter — сервис, который позволяет направлять запросы нескольким поставщикам искусственного интеллекта. По умолчанию Volta использует Claude Opus 4.6 компании Anthropic, однако при срабатывании защитных ограничений может переключиться на китайскую модель с открытыми весами Moonshot AI Kimi K2, а затем на Gemini 2.5 Flash от Google. Применение запасных моделей и более дешёвых решений предыдущих поколений считается распространённым приёмом среди злоумышленников.
«Volta довольно зрелая программа для кражи данных. Она собирает очень широкий спектр информации», — заявил исследователь безопасности Cisco Talos Райан Феттерман. По его словам, вредонос объединяет результаты в сериализованное досье и отправляет его нескольким моделям, предлагая им выступить в роли аналитика разведывательной информации и подготовить структурированную оценку жертвы с подтверждающими ссылками. Cisco Talos выявила Volta с помощью собственной системы CAIRN, предназначенной для поиска хакерских инструментов с функциями искусственного интеллекта, однако исследователи не отслеживали, применялась ли эта программа в реальных атаках.