Вирус с ИИ охотится за богатыми пользователями Windows — он оценивает, сколько можно выжать с каждой жертвы

Новая вредоносная программа для Windows под названием VOLTA-AUTODOXER после сбора на заражённом компьютере всех доступных данных обращается к ИИ-модели (по умолчанию — Claude от компании Anthropic) для оценки потенциальной выгоды от атаки на эту жертву, чтобы в итоге выбрать наиболее перспективную цель.

Источник изображения: Kevin Ku/unsplash.com

Как сообщает исследовательская группа Cisco Talos, VOLTA использует промпт, предписывающий ИИ действовать как «аналитик разведданных» и быть «прямым, конкретным и точным». В нём также содержится требование предоставить краткую оценку того, насколько жертва подходит в качестве цели (с приведением обоснований), а также провести анализ уровня её защищенности (opsec), включая проверку качества используемых паролей.

Если используемая по умолчанию Claude Opus 4.6 отказывается выполнять запрос, программа-вредонос может переключиться на другую — сначала на Kimi K2 от Moonshot AI, а затем на Gemini 2.5 Flash от Google — или вовсе исключить этап использования ИИ и отправить досье через Telegram, но без данных, сгенерированных ИИ.

На этапе сбора информации VOLTA крадёт пароли из браузеров, файлы cookie, сохранённые данные банковских карт, профили электронной почты (Thunderbird, Outlook), аккаунты Roblox, токены Microsoft OAuth, скриншоты, а также конфигурационные файлы SSH и облачных сервисов, дополняя их сведениями, извлечёнными в Gmail, например, использует квитанции от таких сервисов, как Amazon, DoorDash, Uber Eats, Grubhub, Walmart и PayPal, чтобы подтвердить домашний адрес. Программа также извлекает историю заказов из Uber Eats и DoorDash, использует украденный токен Discord для заполнения профиля жертвы, а также оценивает стоимость внутриигровых предметов Roblox с помощью ресурса Rolimons.

Если в процессе сбора VOLTA обнаруживает криптокошелёк, то не просто копирует его, а пытается взломать хранилища прямо в процессе работы.

Собранные данные программа аккумулирует в «пакете данных» о жертве, включающем геолокацию и домашний адрес, место работы (включая домен компании), предполагаемый год рождения, метаданные авторства документов, а также последние четыре цифры банковских карт.

Судя по всему, VOLTA предназначена для работы на поток в качестве сервиса для хакеров. Злоумышленник может заранее задать в ней исходные данные — Telegram‑канал, API‑ключи и другие параметры, и система сгенерирует под него отдельный исполняемый файл. Благодаря этому покупатели получают готовые отчёты о «перспективности» жертв прямо в мессенджере, не управляя собственной инфраструктурой.

При этом VOLTA может обходить современные механизмы защиты — например, App‑Bound Encryption в Chrome — за счёт запуска браузера в headless‑режиме, то есть без графического интерфейса. С помощью политики контроля приложений, ограничивающей список процессов, которым разрешён запуск Chrome в таком режиме, можно заблокировать механизм расшифровки ABE. Однако это не предотвращает другие виды кражи данных, и не блокирует возможность использования в схеме ИИ или передачу похищенной информации злоумышленникам.

После завершения сбора данных основной исполняемый файл вредоноса может самоудалиться, но на устройстве жертвы останется файл volta_debug.txt, который содержит сведения о том, какие данные были собраны и успешно ли прошел вызов LLM. Поэтому пострадавшему в любом случае следует отозвать или обновить все API-ключи и токены, а также сменить пароли.

Если вы заметили ошибку — выделите ее мышью и нажмите CTRL+ENTER.