Cisco Talos のセキュリティ研究者は、盗んだファイルを大規模な言語モデルに渡し、人間の犯罪アナリストがかつて行っていたこと、つまりどの被害者が追跡する価値があるかを把握することを行うように依頼する Windows インフォスティーラーについて詳しく説明しました。 VOLTA-AUTODOXER と名付けられたこのマルウェアは、LLM を利用した被害者プロファイリング ステージを使用して、生の認証情報ログをマシンの背後にいる人々の優先順位付けされた文書に変換します。

Talos 研究者 Ryan Fetterman が 10 月 31 日に発表した分析では、このマルウェア (Talos によって VOLTA として追跡) は、オプションの AI 統合レイヤを備えた成熟したスティーラー インプラントであると説明されています。認証情報、ブラウザセッション、暗号通貨ウォレットを収集した後、VOLTA は被害者に関する構造化された証拠バンドルを組み立て、フォレンジックアナリストとして機能する指示とともに LLM プロバイダーに POST します。この開発は、フィッシング テキストの生成だけでなく、自動化されたインテリジェンス作業など、サイバー犯罪における AI 悪用がどこに向かっているのかを示しています。このような記事の継続的な報道については、最新の AI 開発 をご覧ください。

すべてを盗んで、AI に整理させましょう

VOLTA は CAIRN の調査活動を通じて初めて明らかになり、Talos はこれを攻撃者が所有するインフラストラクチャを持たない自己削除型の Windows インフォスティーラーであると説明しています。その特徴により、特定が難しく、破壊も困難になります。その収集段階は、ブラウザのパスワード、Cookie、支払いカードなど、窃盗者の基準から見ても徹底的です。暗号通貨ウォレットのシードフレーズ。 Discord、Telegram、Steam、Roblox セッション トークン。 Microsoft OAuth トークン。 SSH およびクラウドプロバイダーキー。 Wi-Fi プロファイル。そしてスクリーンショット。

斬新さは盗難の後に始まります。 VOLTA は、Talos が構造化証拠バンドルと呼ぶものを構築します。これには、位置情報と自宅の住所、雇用主と雇用主のドメイン、推定誕生年、ペイメント カードの下 4 桁、Slack ワークスペース、文書作成者のメタデータ、iPhone バックアップ インジケーター、さらには被害者の Roblox アカウントのライブ評価も含まれます。

次に、被害者自身の盗まれたセッションを使用してそのバンドルを強化します。 Talos によると、このマルウェアは被害者の Gmail で購入レシートを検索して自宅住所を裏付け、UberEats と DoorDash の注文履歴を取得し、盗んだトークンを介して Discord アカウントを充実させます。その結果、ほぼすべてが自分のログイン アカウントから集められた人物のポートレートが作成されます。

プロンプト: 「法医学情報分析官として行動してください」

組み立てられたバンドルはシリアル化され、リクエストを複数のモデル プロバイダーにルーティングするサービスである OpenRouter を通じてアクセスされる LLM に送信されます。システム プロンプトは、モデルに「ターゲット評価の草案を作成する法医学情報分析者」として機能するように指示します。

求められる成果は驚くほど企業向けです。それには、被害者の貴重品を収益化の可能性によって低層、中層、高層でランク付けする「WHAT THEY'RE WORTH」というタイトルのセクションと、被害者のセキュリティ体制とパスワードの衛生状態を評価する「THEIR OPSEC」のセクションを含める必要があります。モデルは事実上、オペレーターのトリアージ分析者となり、犯罪者に金の在処を伝える引用に裏付けられた文書を作成します。

Talos は、オペレーターが AI 安全ガードレールを中心に設計を行っていたという証拠も発見しました。モデルがターゲット評価の実行を拒否した場合、VOLTA は 3 つのモデル チェーンにフェイルオーバーし、次のモデルを試行します。これは研究者が説明するところによると、モデルが拒否されることを期待して構築された直接的なエンジニアリングの取り組みです。マルウェアから復元された AI 設定プロンプトには、「広くではなく深く…率直に、具体的に、正確に」という文体の指示さえ含まれています。

なぜそれが重要なのか

Talos はイノベーションを正確に構成しています。ここでの AI は、難読化やルアー生成などの従来のマルウェア機能をサポートしていません。オペレーターに代わって情報分析官として活動している。サイバー犯罪の世界に移行するアイデアは、広範囲に網を張り、すべてを盗み、AIに詳細を分類させることだと同社は書いている。

これは、この 1 つのマルウェア ファミリを超えた影響を及ぼします。情報窃取者はすでに犯罪経済の大部分に餌を与えています。丸太は大量に販売されており、購入者は手作業でそれらを選別しています。モデル駆動のトリアージ段階はピッキングを自動化し、スキルの低いオペレーターが大量の盗難から最大限の価値を引き出し、実際に支払うことができる被害者に恐喝やアカウント乗っ取りなどのフォローアップ攻撃を集中させることができます。

モデルプロバイダーやルーティングサービスにとって、この事件は、悪用がパブリックチャットインターフェイスに限定されないことを思い出させるものです。再販業者やアグリゲーターを介した API ベースのアクセスは、犯罪ツールの収益化経路を生み出し、VOLTA の運営者が明らかに予想していた拒否行動が依然として第一線の防御線です。

ユーザーにとって、実践的なガイダンスは変わっていませんが、より緊急です。デジタル ライフ全体を尋問する可能性のある情報窃取者に対する最も安全な防御策は、固有のパスワード、フィッシング耐性のある多要素認証、およびブラウザと資格情報の衛生管理を迅速に行って、最初からアクセスを拒否することです。

Talos 氏は、VOLTA は成熟したインプラントであると述べ、AI の統合がすでにしばらく前から実際に動作していた可能性があることを示唆しています。これまでの窃盗者のイノベーションと同様、コピーや模倣者はすぐに追随する傾向があります。

---

AI の先を行く

最新の AI ニュース、分析、画期的な情報をすべて 1 か所で入手できます。

AI ニュースをもっと読む→