VOLTA Infostealer ใช้ LLM เพื่อจัดอันดับเหยื่อตามมูลค่าของพวกเขา Cisco Talos เผย

นักวิจัยด้านความปลอดภัยที่ Cisco Talos ได้ให้รายละเอียดเกี่ยวกับโปรแกรมขโมยข้อมูลของ Windows ที่จะส่งต่อข้อมูลที่ถูกขโมยไปให้กับโมเดลภาษาขนาดใหญ่ และขอให้ทำสิ่งที่นักวิเคราะห์อาชญากรที่เป็นมนุษย์เคยทำ นั่นคือ ค้นหาว่าเหยื่อคนไหนคุ้มค่าที่จะตามล่า มัลแวร์ซึ่งมีชื่อตัวเองว่า VOLTA-AUTODOXER ใช้ขั้นตอนการจัดทำโปรไฟล์เหยื่อที่ขับเคลื่อนด้วย LLM เพื่อเปลี่ยนบันทึกข้อมูลรับรองดิบให้กลายเป็นเอกสารที่มีลำดับความสำคัญของบุคคลที่อยู่เบื้องหลังเครื่องจักร

ในการวิเคราะห์ที่เผยแพร่เมื่อวันที่ 31 ตุลาคมโดย Ryan Fetterman นักวิจัยของ Talos มัลแวร์ที่ถูกติดตามโดย Talos ในชื่อ VOLTA ได้รับการอธิบายว่าเป็นการปลูกฝังขโมยที่เป็นผู้ใหญ่พร้อมเลเยอร์การรวม AI ที่เป็นตัวเลือก หลังจากการเก็บเกี่ยวข้อมูลประจำตัว เซสชันเบราว์เซอร์ และกระเป๋าสตางค์สกุลเงินดิจิทัล VOLTA จะรวบรวมชุดหลักฐานที่มีโครงสร้างเกี่ยวกับเหยื่อและโพสต์ไปยังผู้ให้บริการ LLM พร้อมคำแนะนำให้ทำหน้าที่เป็นนักวิเคราะห์ทางนิติวิทยาศาสตร์ การพัฒนาดังกล่าวส่งสัญญาณว่าการละเมิด AI ในอาชญากรรมในโลกไซเบอร์กำลังมุ่งหน้าอยู่: ไม่ใช่แค่การสร้างข้อความฟิชชิ่งเท่านั้น แต่ยังเป็นงานข่าวกรองอัตโนมัติอีกด้วย หากต้องการรายงานเรื่องราวเช่นนี้อย่างต่อเนื่อง โปรดดู การพัฒนา AI ล่าสุด

ขโมยทุกอย่างแล้วให้ AI จัดการมัน

VOLTA ปรากฏตัวครั้งแรกผ่านความพยายามวิจัยของ CAIRN และ Talos อธิบายว่ามันเป็นโปรแกรมขโมยข้อมูล Windows ที่สามารถลบตัวเองได้ โดยไม่มีโครงสร้างพื้นฐานที่ผู้โจมตีเป็นเจ้าของ ซึ่งเป็นลักษณะที่ทำให้ทั้งระบุแหล่งที่มาได้ยากและยากต่อการขัดขวาง ขั้นตอนการเก็บรวบรวมนั้นละเอียดถี่ถ้วนแม้จะเป็นไปตามมาตรฐานของผู้ขโมยก็ตาม: รหัสผ่านเบราว์เซอร์ คุกกี้ และบัตรชำระเงิน วลีเมล็ดพันธุ์กระเป๋าเงินดิจิตอล; โทเค็นเซสชัน Discord, Telegram, Steam และ Roblox โทเค็น Microsoft OAuth; SSH และคีย์ผู้ให้บริการคลาวด์ โปรไฟล์ Wi-Fi; และภาพหน้าจอ

ความแปลกใหม่เริ่มต้นหลังจากการโจรกรรม VOLTA สร้างสิ่งที่ Talos เรียกว่าชุดหลักฐานที่มีโครงสร้างซึ่งประกอบด้วยตำแหน่งทางภูมิศาสตร์และที่อยู่บ้าน โดเมนของนายจ้างและนายจ้าง ปีเกิดที่อนุมาน ตัวเลขสี่หลักสุดท้ายของบัตรชำระเงิน พื้นที่ทำงานของ Slack ข้อมูลเมตาของผู้เขียนเอกสาร ตัวบ่งชี้การสำรองข้อมูลของ iPhone และแม้แต่การประเมินค่าบัญชี Roblox ของเหยื่อแบบเรียลไทม์

จากนั้นจะเสริมชุดบันเดิลนั้นโดยใช้เซสชันที่ถูกขโมยของเหยื่อเอง ตามข้อมูลของ Talos มัลแวร์จะค้นหา Gmail ของเหยื่อเพื่อหาใบเสร็จรับเงินการซื้อเพื่อยืนยันที่อยู่บ้านของพวกเขา ดึงประวัติการสั่งซื้อ UberEats และ DoorDash และเพิ่มคุณค่าให้กับบัญชี Discord ผ่านโทเค็นที่ถูกขโมย ผลลัพธ์ที่ได้คือภาพของบุคคลที่ประกอบขึ้นเกือบทั้งหมดจากบัญชีที่เข้าสู่ระบบของพวกเขาเอง

ข้อความแจ้ง: 'ทำหน้าที่เป็นนักวิเคราะห์ข่าวกรองทางนิติวิทยาศาสตร์'

ชุดรวมที่ประกอบขึ้นจะถูกทำให้เป็นอนุกรมและส่งไปยัง LLM ที่เข้าถึงได้ผ่าน OpenRouter ซึ่งเป็นบริการที่กำหนดเส้นทางคำขอไปยังผู้ให้บริการโมเดลหลายราย ข้อความแจ้งของระบบจะสั่งให้โมเดลทำหน้าที่เป็น "นักวิเคราะห์ข่าวกรองทางนิติวิทยาศาสตร์ที่กำลังร่างการประเมินเป้าหมาย"

ผลลัพธ์ที่ต้องการนั้นเป็นแบบองค์กรที่โดดเด่น โดยจะต้องมีหัวข้อชื่อ "สิ่งที่พวกเขาคุ้มค่า" ซึ่งจัดอันดับสิ่งของมีค่าของเหยื่อตามศักยภาพในการสร้างรายได้ในระดับต่ำ กลาง และสูง และหัวข้อ "THEIR OPSEC" ที่ประเมินมาตรการรักษาความปลอดภัยและสุขอนามัยของรหัสผ่านของเหยื่อ แบบจำลองนี้จะกลายเป็นนักวิเคราะห์คัดแยกของผู้ปฏิบัติงานได้อย่างมีประสิทธิภาพ โดยสร้างเอกสารที่มีการอ้างอิงสนับสนุนเพื่อบอกอาชญากรว่าเงินอยู่ที่ไหน

Talos ยังพบหลักฐานที่แสดงว่าผู้ปฏิบัติงานออกแบบราวกั้นความปลอดภัยของ AI หากแบบจำลองปฏิเสธที่จะดำเนินการประเมินเป้าหมาย VOLTA จะล้มเหลวในห่วงโซ่แบบจำลองสามแบบ โดยลองแบบจำลองถัดไปตามลำดับ ซึ่งเป็นสิ่งที่ผู้วิจัยอธิบายว่าเป็นความพยายามทางวิศวกรรมโดยตรงที่สร้างขึ้นจากความคาดหวังว่าจะเกิดการปฏิเสธแบบจำลอง พรอมต์การกำหนดค่า AI ที่กู้คืนจากมัลแวร์ยังมีคำแนะนำเชิงโวหาร: "เจาะลึก ไม่กว้าง... ตรงไปตรงมา เฉพาะเจาะจง แม่นยำ"

ทำไมมันถึงสำคัญ

Talos วางกรอบนวัตกรรมอย่างแม่นยำ: AI ที่นี่ไม่สนับสนุนความสามารถของมัลแวร์แบบดั้งเดิม เช่น การสร้างความสับสนหรือการสร้างสิ่งล่อใจ มันทำงานเป็นนักวิเคราะห์ข่าวกรองในนามของผู้ปฏิบัติงาน บริษัทเขียนว่าแนวคิดในการย้ายเข้าสู่โลกอาชญากรรมไซเบอร์ คือการสร้างเครือข่ายที่กว้างขวาง ขโมยทุกอย่าง และปล่อยให้ AI แยกแยะข้อมูลเฉพาะ

นั่นมีผลกระทบนอกเหนือจากมัลแวร์ตระกูลเดียวนี้ นักขโมยข้อมูลป้อนเศรษฐกิจทางอาญาเป็นส่วนใหญ่อยู่แล้ว — ไม้ซุงถูกขายจำนวนมาก และผู้ซื้อเลือกด้วยตนเอง ขั้นตอนการคัดแยกที่ขับเคลื่อนด้วยแบบจำลองทำให้การเลือกเป็นไปโดยอัตโนมัติ โดยให้ผู้ปฏิบัติงานที่มีทักษะต่ำดึงมูลค่าสูงสุดจากการโจรกรรมในปริมาณมาก และมุ่งความสนใจไปที่การโจมตีติดตามผล เช่น การขู่กรรโชกหรือการยึดบัญชี กับเหยื่อที่สามารถจ่ายเงินได้จริง

สำหรับผู้ให้บริการโมเดลและบริการกำหนดเส้นทาง กรณีนี้ถือเป็นเครื่องเตือนใจว่าการใช้งานในทางที่ผิดไม่ได้จำกัดอยู่เพียงอินเทอร์เฟซการแชทสาธารณะ การเข้าถึงโดยใช้ API ผ่านผู้ค้าปลีกและผู้รวบรวมจะสร้างเส้นทางการสร้างรายได้สำหรับเครื่องมือทางอาญา และพฤติกรรมการปฏิเสธ ซึ่งผู้ปฏิบัติงานของ VOLTA คาดการณ์ไว้อย่างชัดเจน ยังคงเป็นแนวหน้าในการป้องกัน

สำหรับผู้ใช้ คำแนะนำในทางปฏิบัติจะไม่เปลี่ยนแปลง แต่เร่งด่วนกว่า: การป้องกันที่ปลอดภัยที่สุดต่อผู้ขโมยข้อมูลที่สามารถซักถามชีวิตดิจิทัลทั้งหมดของคุณคือการปฏิเสธการเข้าถึงตั้งแต่แรก โดยใช้รหัสผ่านที่ไม่ซ้ำกัน การตรวจสอบสิทธิ์แบบหลายปัจจัยที่ป้องกันการฟิชชิ่ง และเบราว์เซอร์ที่แจ้งเตือนและสุขอนามัยข้อมูลประจำตัว

Talos กล่าวว่า VOLTA เป็นอุปกรณ์ปลูกถ่ายที่เติบโตเต็มที่แล้ว ซึ่งบ่งชี้ว่าการบูรณาการ AI อาจมีการดำเนินการในป่ามาระยะหนึ่งแล้ว เช่นเดียวกับนวัตกรรมการขโมยครั้งก่อนๆ การลอกเลียนแบบและผู้ลอกเลียนแบบมักจะตามมาอย่างรวดเร็ว

---

ก้าวนำหน้า AI

รับข่าวสาร AI การวิเคราะห์ และความก้าวหน้าล่าสุด ทั้งหมดในที่เดียว

อ่านข่าว AI เพิ่มเติม →