Вірус з ШІ полює на багатих користувачів Windows — він оцінює, скільки можна витягти з кожної жертви

Нова шкідлива програма для Windows під назвою VOLTA-AUTODOXER після збору на зараженому комп'ютері всіх доступних даних звертається до ШІ-моделі (за замовчуванням — Claude від компанії Anthropic) для оцінки потенційної вигоди від атаки на цю жертву, щоб врешті-решт вибрати найбільш перспективну ціль.

Джерело зображення: Kevin Ku/unsplash.com

Як повідомляє дослідницька група Cisco Talos, VOLTA використовує промпт, що вказує ШІ діяти як «аналітик розвідданих» і бути «прямим, конкретним і точним». У ньому також міститься вимога надати коротку оцінку того, наскільки жертва підходить як ціль (з наведенням обґрунтувань), а також провести аналіз рівня її захищеності (opsec), включаючи перевірку якості використовуваних паролів.

Якщо використовувана за замовчуванням Claude Opus 4.6 відмовляється виконувати запит, програма-шкідник може переключитися на іншу — спочатку на Kimi K2 від Moonshot AI, а потім на Gemini 2.5 Flash від Google — або зовсім виключити етап використання ІІ і надіслати досьє через Telegram, але без даних, згенерованих ШІ.

На етапі збору інформації VOLTA краде паролі з браузерів, файли cookie, збережені дані банківських карт, профілі електронної пошти (Thunderbird, Outlook), акаунти Roblox, токени Microsoft OAuth, скріншоти, а також конфігураційні файли SSH і хмарних сервісів, доповнюючи їх відомостями, витягнутими з Gmail, наприклад, використовує квитанції від таких сервісів, як Amazon, DoorDash, Uber Eats, Grubhub, Walmart і PayPal, щоб підтвердити домашню адресу. Програма також витягує історію замовлень з Uber Eats і DoorDash, використовує вкрадений токен Discord для заповнення профілю жертви, а також оцінює вартість внутрішньоігрових предметів Roblox за допомогою ресурсу Rolimons.

Якщо в процесі збору VOLTA виявляє криптогаманець, то не просто копіює його, а намагається зламати сховища прямо під час роботи.

Зібрані дані програма акумулює в «пакеті даних» про жертву, що включає геолокацію та домашню адресу, місце роботи (включаючи домен компанії), ймовірний рік народження, метадані авторства документів, а також останні чотири цифри банківських карт.

Судячи з усього, VOLTA призначена для роботи на потік як сервіс для хакерів. Зловмисник може заздалегідь задати в ній вихідні дані — Telegram-канал, API-ключі та інші параметри, і система згенерує під нього окремий виконуваний файл. Завдяки цьому покупці отримують готові звіти про «перспективність» жертв прямо в месенджері, не керуючи власною інфраструктурою.

При цьому VOLTA може обходити сучасні механізми захисту — наприклад, App-Bound Encryption у Chrome — завдяки запуску браузера в headless-режимі, тобто без графічного інтерфейсу. За допомогою політики контролю додатків, що обмежує список процесів, яким дозволено запускати Chrome в такому режимі, можна заблокувати механізм розшифровки ABE. Однак це не запобігає іншим видам крадіжки даних і не блокує можливість використання в схемі ШІ або передачу вкраденої інформації зловмисникам.

Після завершення збору даних основний виконуваний файл шкідника може самоудалитися, але на пристрої жертви залишиться файл volta_debug.txt, який містить відомості про те, які дані були зібрані і чи успішно пройшов виклик LLM. Тому постраждалому в будь-якому випадку слід відкликати або оновити всі API-ключі та токени, а також змінити паролі.

Хочеш дізнатися більше — читай відгуки