Исследователи безопасности из Cisco Talos подробно описали похитителя информации Windows, который передает украденную информацию большой языковой модели и просит ее сделать то, что когда-то делали криминальные аналитики: выяснить, каких жертв стоит преследовать. Вредоносная программа под одноименным названием VOLTA-AUTODOXER использует этап профилирования жертв на базе LLM, чтобы превратить необработанные журналы учетных данных в приоритетные досье людей, стоящих за компьютерами.
В анализе, опубликованном 31 октября исследователем Talos Райаном Феттерманом, вредоносное ПО, отслеживаемое Talos как VOLTA, описывается как зрелый имплантат-воровщик с дополнительным уровнем интеграции искусственного интеллекта. После сбора учетных данных, сеансов браузера и криптовалютных кошельков VOLTA собирает структурированный пакет доказательств о жертве и отправляет его поставщику LLM с инструкциями действовать в качестве судебно-медицинского аналитика. Развитие событий указывает на то, куда движется злоупотребление ИИ в киберпреступности: это не просто генерация фишинговых текстов, а автоматизированная разведывательная работа. Постоянное освещение подобных историй можно найти в нашей статье [последние разработки в области искусственного интеллекта] (https://aibuzzwire.news).
Украдите всё, а затем позвольте ИИ разобраться во всём
VOLTA впервые появилась в результате исследовательской работы CAIRN, и Талос описывает ее как самоудаляющуюся программу-похититель информации Windows, не имеющую инфраструктуры, принадлежащей злоумышленникам, — черты, из-за которых ее сложнее выявить и сложнее разрушить. Этап сбора данных является исчерпывающим даже по меркам воров: пароли браузера, файлы cookie и платежные карты; сид-фразы криптовалютного кошелька; Токены сеансов Discord, Telegram, Steam и Roblox; токены Microsoft OAuth; SSH и ключи облачного провайдера; Профили Wi-Fi; и скриншоты.
Новинка начинается после кражи. VOLTA создает то, что Талос называет структурированным набором доказательств, включающим геолокацию и домашний адрес, работодателя и домен работодателя, предполагаемый год рождения, последние четыре цифры платежных карт, рабочие пространства Slack, метаданные об авторстве документов, индикаторы резервного копирования iPhone и даже живую оценку учетной записи Roblox жертвы.
Затем он дополняет этот пакет, используя украденные сеансы жертвы. По словам Талоса, вредоносное ПО ищет в Gmail жертвы квитанции о покупке, чтобы подтвердить ее домашний адрес, извлекает историю заказов UberEats и DoorDash и пополняет учетные записи Discord с помощью украденного токена. В результате получается портрет человека, собранный практически полностью из его собственных авторизованных аккаунтов.
Подсказка: «Действуйте как судебно-медицинский аналитик»
Собранный пакет сериализуется и отправляется в LLM, доступ к которому осуществляется через OpenRouter — сервис, который направляет запросы нескольким поставщикам моделей. Системная подсказка предписывает модели действовать как «криминалист-аналитик, составляющий целевую оценку».
Требуемый результат является поразительно корпоративным. Он должен включать раздел под названием «ЧЕГО ОНИ СТОЯТ», в котором ценности жертвы ранжируются по потенциалу монетизации с низким, средним и высоким уровнями, а также раздел «ИХ OPSEC», оценивающий уровень безопасности жертвы и гигиену паролей. Модель фактически становится сортировочным аналитиком оператора, создавая подкрепленное цитатами досье, которое сообщает преступнику, где находятся деньги.
Талос также обнаружил доказательства того, что операторы спроектировали защитные ограждения с использованием ИИ. Если модель отказывается выполнять целевую оценку, VOLTA переходит к цепочке из трех моделей, пробуя следующую по цепочке — то, что исследователь описывает как прямую инженерную попытку, основанную на ожидании отказа модели. Подсказка о настройке ИИ, восстановленная после вредоносного ПО, даже содержит стилистические инструкции: «Идите глубоко, а не широко… Будьте прямолинейны, конкретны, точны».
Почему это важно
Talos точно формулирует инновацию: здесь ИИ не поддерживает традиционные возможности вредоносного ПО, такие как запутывание или создание приманки. Он работает аналитиком разведки от имени оператора. Фирма пишет, что идея миграции в мир киберпреступности заключается в том, чтобы создать широкую сеть, украсть все и позволить ИИ разобраться в деталях.
Это имеет последствия, выходящие за рамки этого семейства вредоносных программ. Инфокрады уже питают большую часть криминальной экономики — бревна продаются оптом, и покупатели перебирают их вручную. Этап сортировки на основе модели автоматизирует сбор, позволяя операторам с низкой квалификацией извлекать максимальную выгоду из крупных краж и концентрировать последующие атаки, такие как вымогательство или захват счетов, на жертвах, которые действительно могут заплатить.
Для поставщиков моделей и служб маршрутизации этот случай является напоминанием о том, что злоупотребление не ограничивается интерфейсами общедоступных чатов. Доступ на основе API через реселлеров и агрегаторов создает путь монетизации преступных инструментов, а отказное поведение, которое явно предвидели операторы VOLTA, остается первой линией защиты.
Для пользователей практические рекомендации не изменились, но стали более актуальными: самая безопасная защита от информационного вора, который может допросить всю вашу цифровую жизнь, — это в первую очередь запретить ему доступ с помощью уникальных паролей, устойчивой к фишингу многофакторной аутентификации, а также быстрого браузера и гигиены учетных данных.
Талос говорит, что VOLTA — это зрелый имплант, предполагая, что интеграция ИИ, возможно, уже некоторое время работает в реальных условиях. Как и в случае с предыдущими инновациями воров, копии и подражатели, как правило, быстро следуют за ними.
---
Будьте впереди ИИПолучайте последние новости, анализ и открытия в области искусственного интеллекта — все в одном месте.
Подробнее новости AI →
