Cercetătorii în domeniul securității de la Cisco Talos au detaliat un furt de informații Windows care predă transportul furat către un model de limbă mare și îi cere să facă ceea ce analiștii criminali umani au făcut cândva: să descopere ce victime merită urmărite. Programul malware, auto-numit VOLTA-AUTODOXER, folosește o etapă de profilare a victimelor bazată pe LLM pentru a transforma jurnalele de acreditări brute în dosare prioritizate ale persoanelor din spatele mașinilor.
Într-o analiză publicată pe 31 octombrie de cercetătorul Talos Ryan Fetterman, malware-ul – urmărit de Talos ca VOLTA – este descris ca un implant de furt matur cu un strat opțional de integrare AI. După colectarea acreditărilor, a sesiunilor de browser și a portofelelor cu criptomonede, VOLTA adună un pachet de dovezi structurate despre victimă și îl postează unui furnizor de LLM cu instrucțiuni pentru a acționa ca analist criminalistic. Dezvoltarea semnalează spre ce se îndreaptă abuzul de inteligență artificială în criminalitatea cibernetică: nu doar generarea de text de tip phishing, ci munca automatizată de informații. Pentru acoperirea continuă a unor povești ca aceasta, consultați cele mai recente evoluții AI.
Fură totul, apoi lasă AI să o rezolve
VOLTA a apărut pentru prima dată prin efortul de cercetare CAIRN, iar Talos îl descrie ca pe un infostealer Windows cu ștergere automată, fără infrastructură deținută de atacator - trăsături care îl fac atât mai greu de atribuit, cât și mai greu de perturbat. Etapa sa de colectare este exhaustivă chiar și după standardele furatorilor: parolele browserului, cookie-urile și cardurile de plată; fraze semințe pentru portofel de criptomonede; Jetoane de sesiune Discord, Telegram, Steam și Roblox; Jetoane Microsoft OAuth; Chei SSH și cloud-provider; profile Wi-Fi; și capturi de ecran.
Noutatea începe după furt. VOLTA construiește ceea ce Talos numește un pachet de dovezi structurate care conține geolocalizare și adresa de domiciliu, angajator și domeniul angajatorului, anul de naștere dedus, ultimele patru cifre ale cardurilor de plată, spații de lucru Slack, metadate de autor al documentelor, indicatori de backup pentru iPhone și chiar o evaluare live a contului Roblox al victimei.
Apoi îmbogățește acel pachet folosind propriile sesiuni furate ale victimei. Potrivit Talos, malware-ul caută în Gmail a victimei chitanțele de achiziție pentru a le corobora adresa de domiciliu, extrage istoricul comenzilor UberEats și DoorDash și îmbogățește conturile Discord prin simbolul furat. Rezultatul este un portret al unei persoane asamblat aproape în întregime din propriile conturi conectate.
Solicitarea: „Acționați ca un analist de informații criminalistice”
Pachetul asamblat este serializat și trimis către LLM-uri accesate prin OpenRouter, un serviciu care direcționează cererile către mai mulți furnizori de modele. Promptul sistemului îi instruiește pe model să acționeze ca „un analist de informații criminalistice care elaborează o evaluare a țintei”.
Producția necesară este izbitor de corporativă. Trebuie să includă o secțiune intitulată „CE MERITĂ”, care clasifică obiectele de valoare ale victimei în funcție de potențialul de monetizare cu niveluri scăzute, medii și înalte și o secțiune despre „OPSEC LOR”, care evaluează postura de securitate a victimei și igiena parolei. Modelul devine efectiv analistul de triaj al operatorului, producând un dosar susținut de citații care îi spune criminalului unde sunt banii.
Talos a găsit, de asemenea, dovezi că operatorii s-au proiectat în jurul balustradelor de siguranță AI. Dacă un model refuză să efectueze evaluarea țintei, VOLTA trece la un lanț cu trei modele, încercând următorul pe linie - ceea ce cercetătorul descrie ca un efort de inginerie direct construit pe așteptarea de a atinge refuzurile modelului. Promptul de configurare AI recuperat din malware conține chiar și instrucțiuni stilistice: „Du-te adânc, nu larg... Fii direct, specific, precis”.
De ce contează
Talos încadrează inovația cu precizie: AI-ul de aici nu acceptă o capacitate tradițională de malware, cum ar fi obscurcarea sau generarea de momeli. Lucrează ca analist de informații în numele operatorului. Ideea de a migra în lumea criminalității cibernetice, scrie firma, este de a arunca o plasă largă, de a fura totul și de a lăsa AI să rezolve detaliile.
Acest lucru are implicații dincolo de această familie de programe malware. Furții de informații alimentează deja o mare parte din economia criminală - buștenii sunt vânduți în vrac, iar cumpărătorii le aleg manual. O etapă de triaj bazată pe model automatizează alegerea, permițând operatorilor cu competențe reduse să extragă valoare maximă din furtul de mare volum și să concentreze atacurile ulterioare, cum ar fi extorcarea sau preluarea contului, asupra victimelor care pot plăti efectiv.
Pentru furnizorii de modele și serviciile de rutare, cazul este un memento că utilizarea greșită nu se limitează la interfețele publice de chat. Accesul bazat pe API prin revânzători și agregatori creează o cale de monetizare pentru instrumentele criminale, iar comportamentul de refuz – pe care operatorii VOLTA îl anticipau în mod clar – rămâne prima linie de apărare.
Pentru utilizatori, îndrumările practice sunt neschimbate, dar mai urgente: cea mai sigură apărare împotriva unui furt de informații care vă poate interoga întreaga viață digitală este să îi refuzi accesul, în primul rând, cu parole unice, autentificare multi-factor rezistentă la phishing și igiena promptă a browserului și a acreditărilor.
Talos spune că VOLTA este un implant matur, sugerând că integrarea AI poate funcționa deja în sălbăticie de ceva timp. Ca și în cazul inovațiilor anterioare ale furatorilor, copiile și imitatorii tind să urmeze rapid.
---
Rămâneți înaintea AIObțineți cele mai recente știri, analize și descoperiri despre AI - toate într-un singur loc.
Citiți mai multe știri AI →
