Новиот малициозен софтвер VOLTA користи Claude, Gemini и Kimi AI за да ги рангира жртвите според нивната финансиска вредност.

Истражувачи за сајбер-безбедност открија нов малициозен софтвер за Windows, наменет за кражба на информации, наречен VOLTA-AUTODOXER (познат и како VOLTA), кој користи голем јазичен модел (LLM) за да ги рангира украдените податоци од жртвите според нивната потенцијална вредност за монетизација.

Како и другите малициозни софтвери од оваа категорија, VOLTA е опремен за собирање лозинки и колачиња (cookies) од веб-прелистувачите базирани на Chromium; податоци од Outlook-профили и Slack-работни простори; платежни картички; почетни фрази (seed phrases) за криптовалутни паричници; сесии од Discord, Telegram, Steam и Roblox; Microsoft OAuth-токени; SSH-клучеви и клучеви од даватели на облачни услуги; Wi-Fi-профили и снимки од екранот.

„VOLTA создава структуриран пакет докази за лицето што стои зад компјутерот“, изјави Рајан Фетерман (Ryan Fetterman), истражувач во Cisco Talos. „Овој пакет содржи податоци за геолокацијата и домашната адреса, работодавачот и неговиот домен, претпоставена година на раѓање, последните четири цифри од платежните картички, Slack-работните простори, метаподатоци за авторството на документи, индикатори за постоење резервни копии од iPhone и проценета вредност на активната Roblox-сметка.“

За да ги направи овие информации повредни, малициозниот софтвер користи украден пристап до корисничките сесии за пребарување на Gmail-сметката на жртвата и пронаоѓање сметки и потврди за купување. На тој начин се потврдува домашната адреса преку извлекување е-пораки поврзани со Amazon, DoorDash, Uber Eats, Grubhub, Walmart и PayPal.

Откако ќе се соберат потребните информации, пакетот се структурира и се испраќа до систем со вештачка интелигенција (AI) за анализа, преку OpenRouter – унифицирана API-платформа и сервис за насочување барања до различни големи јазични модели (LLM), заедно со системско упатство (system prompt). Стандардно, барањата се испраќаат до Claude Opus 4.6 на Anthropic, а доколку тој не може да ги обработи, системот преминува на Kimi K2 на Moonshot AI и Gemini 2.5 Flash на Google.

„VOLTA користи архитектура со повеќе модели за да обезбеди непречено префрлување доколку наиде на одбивање од некој модел. Секој одговор се проверува за фрази како „Не можам“ или „Не сум во можност“, пред барањето да биде проследено низ низа од најмногу три модели“, објаснуваат од Talos.

VOLTA содржи системско упатство од 240 зборови, кое му наложува на моделот да ја преземе улогата на „аналитичар за форензичко разузнавање“ одговорен за изготвување процена на целта врз основа на податоците од структурираниот пакет докази. „Пакетот е ЕДИНСТВЕНИОТ дозволен извор на факти; вашето знаење од обуката никогаш не смее да послужи за внесување факт за лицето“, се наведува во еден дел од упатството.

„Задолжителниот излезен извештај вклучува дел со наслов „КОЛКУ ВРЕДАТ“ (WHAT THEY’RE WORTH), во кој вредните податоци се рангирани според можноста за монетизација и се категоризираат како ниска, средна или висока вредност. Исто така, содржи дел за „НИВНАТА OPSEC“, со процена на безбедносната поставеност на жртвата и начинот на кој ги користи лозинките“, објаснуваат од Talos.

„Моделот служи како аналитичар за првична процена на напаѓачот: тој претвора суров дневник со украдени акредитиви во приоритетно рангиран извештај за жртвата и нејзините средства што можат да се монетизираат, поткрепен со конкретни докази.“

Извлекувањето на податоците се одвива преку Telegram во три различни фази:

• Веднаш по активирањето на малициозниот софтвер: се испраќаат податоци за лозинките и колачињата од прелистувачите, платежните картички, криптовалутните паричници, токените од Discord, Steam и Roblox, Wi-Fi-лозинките и снимките од екранот.
• По повикот до AI-системот: се испраќаат собраните податоци заедно со резултатите од анализата направена од големиот јазичен модел (LLM).
• По фазата на дополнително прибирање информации во реално време: се испраќаат потврдите за купување од Gmail и историјата на нарачки.

Дополнително, VOLTA користи шаблон со шест полиња што се пополнуваат во фазата на создавање на малициозниот софтвер. Меѓу нив се Telegram-каналот што се користи за извлекување на податоците, API-клучевите и другите поставки.

Овој пристап укажува дека авторот на малициозниот софтвер најверојатно или нуди алатка за негово генерирање (builder kit) на потенцијални клиенти, или го управува како специјализирана алатка под сопствена контрола, со можност да компајлира посебна извршна датотека за секоја нарачка.

„Доколку VOLTA навистина е комерцијализиран малициозен софтвер што се нуди на пазарот, тогаш можноста за генерирање извештаи со помош на AI не е нешто што авторот го измислил исклучиво за сопствените операции“, наведуваат од Talos. „Станува збор за функционалност што му овозможува на клиент, без оглед на неговото техничко знаење, да го насочи кон жртви и да започне да добива рангирани процени на целите директно во своето Telegram-сандаче.“

„VOLTA е зрел малициозен софтвер за кражба на информации, на кој во завршната фаза му е додаден AI-слој со една цел: да го ослободи операторот од аналитичката работа. Подобрувањето што го носи AI во овој случај не се однесува на брзината или обемот на работа, туку на префрлањето на аналитичкиот напор врз вештачката интелигенција.“

Објавувањето на овие информации доаѓа во период кога злонамерната употреба на генеративната вештачка интелигенција (GenAI) брзо станува вообичаена практика. Напаѓачите сè почесто ја интегрираат оваа технологија во своите работни процеси за развој на специјализирани алатки или пронаоѓање вредни податоци, со што ги зголемуваат шансите за успешно реализирање на нападите.

„Технологиите за генеративна вештачка интелигенција се особено погодни и за анализа на огромни количества податоци со цел нивна класификација или пребарување содржини“, наведуваат од Zscaler ThreatLabz. „Откако напаѓачот ќе добие пристап до системот на жртвата, GenAI може да се користи за пребарување на сите материјали до кои има пристап системот, со цел да се пронајдат највредните или најчувствителните податоци за кражба или шифрирање во следната фаза од нападот.“

Напаѓачите што користат ransomware можат да го искористат овој метод за идентификување и прибирање на најчувствителните податоци од компромитирана мрежа, со што ги зголемуваат шансите жртвата да плати откуп.

Минатата недела, Talos објави детали и за рамката со поддршка на AI, наречена NIK C2, која им овозможува на напаѓачите далечински пристап, кражба на акредитиви, снимање на притиснатите копчиња (keylogging), избегнување на безбедносната заштита, надзор и извршување ransomware-напади. Истовремено, таа интегрира OpenAI-клиент за испраќање на украдените податоци на AI-анализа во рамките на компромитираната сесија.

NIK C2 е алатка за далечински пристап до Windows-системи, развиена во програмскиот јазик Go, која обезбедува постојана контрола врз компромитираните уреди и поддржува повеќе од 52 команди испратени од сервер за командување и контрола (C2), со кои може да се собираат различни видови податоци.

Интеграцијата со OpenAI е особено значајна бидејќи напаѓачот може да го злоупотреби сопствениот OpenAI API-клуч на жртвата за извршување анализи со помош на вештачка интелигенција. Поточно, малициозниот софтвер прво проверува дали напаѓачот доставил API-клуч. Доколку таков клуч нема, ја скенира околината на жртвата, односно системските променливи на околината (environment variables), во потрага по низата „OPENAI_API_KEY“ и го користи пронајдениот клуч.

Ова претставува форма на LLMjacking, при што злонамерни лица крадат пристап до AI-модел на друга страна за извршување сопствени операции – во овој случај, против самата жртва – додека легитимниот сопственик ги плаќа трошоците за потребната процесорска моќ. Дополнително, ваквиот пристап му овозможува на напаѓачот да избегне откривање, прикривајќи го вистинскиот извор на испратените барања.

„Овој резервен механизам не служи само за пронаоѓање API-клуч. Станува збор за намерно дизајнирано решение со значителни оперативни последици“, наведуваат од Talos. „Доколку жртвата има конфигурирана OpenAI-сметка на својот компјутер, нејзиниот API-клуч ќе биде искористен за финансирање на AI-анализите што ги извршува напаѓачот.“

„NIK C2 го менува начинот на кој функционираат напаѓачите, обединувајќи го собирањето податоци и нивната злоупотреба во една континуирана сесија. На тој начин практично се отстрануваат доцнењата предизвикани од офлајн обработката, кои историски им овозможуваа на безбедносните тимови драгоцено време за откривање на нападите“, заклучуваат од Talos.

Извори:

• The Hacker News – New VOLTA Infostealer Uses Claude, Gemini, and Kimi AI to Rank Victims by Financial Value The Hacker News