Жуткий новый стилер использует ИИ, чтобы собирать досье на жертв

Что собирает Volta

Программы для кражи данных часто маскируют под поддельное программное обеспечение. Они похищают с заражённых устройств имена пользователей, пароли, токены аутентификации, файлы cookie, данные банковских карт и другую информацию. В последние годы такие вредоносы помогли провести ряд крупных утечек: от атак, связанных со Snowflake и затронувших AT&T и Ticketmaster, до кражи терабайта данных Disney. Всего за последние годы с их помощью украли сотни миллионов учётных данных.

По словам исследователя безопасности Cisco Talos Райана Феттермана, Volta собирает широкий набор сведений. Вредонос объединяет их в структурированное досье и отправляет нескольким языковым моделям. Те должны выступить в роли аналитика разведывательной информации и подготовить обоснованную ссылками оценку жертвы — в том числе помочь определить приоритетность целей.

Cisco Talos обнаружила вредонос с помощью нового фреймворка CAIRN, предназначенного для выявления инструментов взлома с возможностями ИИ. Феттерман уточнил, что исследователи не отслеживали, применяли ли Volta в реальных атаках.

Вредонос ищет пароли, сохранённые в браузерах, токены Microsoft OAuth, файлы cookie, данные платёжных карт и начальные фразы криптокошельков. Он также получает доступ к активным сессиям Discord, Telegram, Steam и Roblox. Затем Volta проводит более глубокую проверку, используя результаты первого этапа.

Изучая Gmail жертвы или другой центральный аккаунт, вредонос собирает более подробные сведения о человеке, его местоположении и привычках. Среди источников — чеки и история заказов в сервисах UberEats и DoorDash.

Как Volta использует ИИ

Собранные данные Volta передаёт на анализ через OpenRouter — сервис, который позволяет отправлять промты разным поставщикам ИИ. По умолчанию вредонос обращается к Claude Opus 4.6 от Anthropic. Если ограничения модели помешают обработке запроса, предусмотрен запасной вариант — открытая модель Kimi K2 от китайской компании Moonshot AI. Если и она не сработает, Volta переключится на Gemini 2.5 Flash от Google.

Запасные модели и более старые, недорогие варианты — распространённые приёмы среди злоумышленников.

Создатели Volta подготовили для языковых моделей промт длиной 240 слов. В нём есть маркированные пункты и нумерованный список. Модель просят составить краткую сводку о человеке, описать его занятия, оценить его «стоимость» и обобщить сведения о его мерах цифровой безопасности. Кроме того, промт требует связывать данные из разных источников — например, проверять, совпадает ли пароль от Wi-Fi с фамилией человека. Авторы отдельно призывают модель копать глубже, а не расширять охват анализа.

По словам Феттермана, промт составлен так, чтобы прямо не указывать на преступную цель. При этом создатели вредоноса, похоже, учитывают, что модель может отказать с первого раза, и предусмотрели последовательное переключение на системы с менее строгими ограничениями. ИИ-функции дополняют основную программу: Volta продолжит работать и без них.

ИИ в инструментах злоумышленников

Некоторые киберпреступники и мошенники жалуются, что форумы киберпреступников заполняют низкокачественные материалы, созданные ИИ. Вместе с тем исследователи всё чаще находят злоумышленников, которые применяют языковые модели для программирования или анализа массивов украденных данных.

Например, специалисты компании CrowdStrike, занимающейся анализом киберугроз, недавно рассказали WIRED о четырёх хакерских группах с разным уровнем подготовки. Они общались на китайском, испанском и английском, индонезийском и русском языках и использовали ИИ-инструменты для атак на десятки целей по всему миру. Среди пострадавших были государственные учреждения и компании из сфер здравоохранения, розничной торговли и путешествий.

Феттерман считает, что некоторые детали Volta указывают на то, что вредонос могли создать для продажи разным злоумышленникам, а не для кампаний одной конкретной группы. В основе программы остаётся обычный похититель данных, но ИИ-функции позволяют быстрее выявлять наиболее ценные цели.

Это может повысить шансы злоумышленников использовать украденные учётные данные или токены аутентификации, пока те не истекли и пароли не сменили. По словам Феттермана, более продвинутые инструменты становятся доступны и злоумышленникам с невысоким уровнем подготовки.