Новая программа для кражи данных использует ИИ для профилирования жертв
Исследователи Cisco Talos обнаружили вредоносную программу Volta-Autodoxer, которая передаёт украденные данные ИИ-моделям, чтобы автоматически оценивать жертв и выделять самых ценных. Неизвестно, применялась ли она в реальных атаках.
Исследователи компании по кибербезопасности Cisco Talos обнаружили новую разновидность вредоносной программы для кражи данных (инфостилера), которая использует языковые модели искусственного интеллекта, чтобы автоматически составлять профили заражённых людей и выделять наиболее ценные цели. Первым об этом сообщил Kernel Panic, информационный бюллетень издания Wired. Программу назвали Volta-Autodoxer, поскольку именно так она сама именует себя внутри кода. Находка показывает, как коммерческие языковые модели расширяют возможности уже известных видов вредоносного ПО.
Что она крадёт
Инфостилеры нередко прячутся в поддельном программном обеспечении и похищают имена пользователей, пароли, токены аутентификации, cookie и данные платёжных карт. Многие крупные утечки последних лет, включая связанные со Snowflake инциденты, затронувшие AT&T и Ticketmaster, и кражу терабайта данных Disney, произошли после того, как злоумышленники получили доступ с помощью таких украденных учётных данных.
Сначала Volta собирает пароли, сохранённые в браузерах, токены Microsoft OAuth, cookie, платёжные карты и seed-фразы криптокошельков, а также активные сессии Discord, Telegram, Steam и Roblox. Затем она проводит второй, более глубокий поиск: например, через аккаунт Gmail узнаёт о местоположении и привычках жертвы по чекам и истории заказов UberEats и DoorDash. По словам исследователя Talos Райана Феттермана, программа, судя по всему, нацелена на молодых пользователей с активной цифровой жизнью.
Как используется ИИ
Собранные данные отправляются языковым моделям через сервис OpenRouter, который направляет запросы нескольким поставщикам ИИ. По умолчанию Volta обращается к Claude Opus 4.6 компании Anthropic, а в качестве запасных вариантов использует Kimi K2 китайской Moonshot AI и затем Gemini 2.5 Flash от Google. Модель просят составить описание человека, его занятий, того, «сколько он стоит», и его привычек в сфере безопасности. Феттерман отмечает, что без ИИ программа продолжает работать.
Talos не отслеживал, применялась ли Volta в реальных атаках. Исследователь полагает, что её могли создать для продажи разным злоумышленникам. Он также предупреждает: чем быстрее выявляются ценные цели, тем выше шанс воспользоваться украденными данными до истечения токенов или смены паролей.
