VOLTA использует ИИ для оценки украденных данных и профилирования жертв

Исследователи описали вредоносный инструмент VOLTA, также известный как VOLTA-AUTODOXER. Это самоудаляющийся стилер для Windows, который не ограничивается кражей паролей и токенов: программа формирует подробное досье на владельца устройства, а затем передаёт его большой языковой модели для оценки потенциальной финансовой выгоды.

‹›

В ходе исследования CAIRN специалисты установили, что VOLTA собирает пароли из браузеров, файлы cookie, платёжные карты, сид-фразы криптовалютных кошельков, сессии Discord, Telegram, Steam и Roblox, токены Microsoft OAuth, ключи SSH и облачных сервисов, профили Wi‑Fi и скриншоты. Программа также работает с профилями Firefox, Thunderbird и Outlook, рабочими пространствами Slack, Battle.net, конфигурациями gcloud, OpenVPN и Hide.me.

Из украденных данных создаётся профиль жертвы

После первичного сбора VOLTA структурирует информацию в файл Identity_Report.txt. В отчёт попадают предполагаемые геолокация и домашний адрес, место работы и домен компании, примерный год рождения, последние четыре цифры банковской карты, рабочие пространства Slack, метаданные авторства документов, признаки наличия резервных копий iPhone и оценочная стоимость аккаунта Roblox.

Стилер способен дополнительно обогащать сведения с помощью украденных сессионных токенов. Через Gmail он ищет письма и чеки от Amazon, DoorDash, Uber Eats, Grubhub, Walmart и PayPal, чтобы подтвердить домашний адрес. Сессии Uber Eats и DoorDash используются для получения истории заказов, токен Discord — для сбора информации о профиле, а стоимость внутриигрового инвентаря Roblox проверяется через Rolimons.

Отдельный модуль позволяет атаковать хранилища криптовалютных кошельков. Результаты записываются в отчёт в разделе WALLET VAULTS CRACKED. Пароли от Wi‑Fi извлекаются через вызов функции WlanGetProfileList и сохраняются в открытом виде.

LLM выступает аналитиком, а не просто каналом обработки

Подготовленный отчёт преобразуется в JSON и вместе с системным промптом отправляется POST-запросом в OpenRouter. Промпт предписывает модели действовать как аналитик по сбору и оценке данных о цели. От модели требуется составить краткое досье с разделами «Ценность» и «Безопасность»: классифицировать активы по потенциальной монетизации, оценить защищённость пользователя и качество его паролей, а выводы подкрепить ссылками на исходные данные.

Таким образом, модель используется для первичной сортировки и интерпретации украденной информации. Она должна находить связи между разрозненными фрагментами — например, сопоставлять имя, адрес или учебное заведение с шаблонами используемых паролей. Для генерации отчётов задано низкое значение temperature — 0,2, что указывает на приоритет точности и воспроизводимости результатов.

Оператор также предусмотрел отказоустойчивость. Если одна модель отказывается обрабатывать запрос из-за встроенных ограничений, VOLTA переключается на цепочку из трёх других моделей. По оценке исследователей, это свидетельствует о том, что авторы заранее учитывали защитные механизмы LLM и пытались обойти возможные отказы.

Передача данных и устройство вредоносной кампании

Результат анализа сохраняется в файле AI_Analysis.txt. Затем исходный отчёт и ответ модели объединяются в архив volta_dox.zip, который передаётся злоумышленникам. Взаимодействие с OpenRouter выполняется непосредственно на устройстве жертвы и через её сетевое соединение — до отправки итогового архива внешнему оператору.

VOLTA не использует собственную инфраструктуру: выявленные конечные точки принадлежат сторонним сервисам. Настройки, включая данные для отправки отчётов в Telegram, задаются через шесть полей шаблона на этапе сборки. Это похоже на модель конструктора, при которой автор предоставляет клиенту уникальный исполняемый файл под конкретный заказ. Поля зашифрованы, но ключ формируется из SHA-256 от двух констант, также находящихся внутри файла, поэтому реверс-инжиниринг позволяет восстановить настройки.

Как снизить риск компрометации

Значительная часть кражи токенов связана с обходом App-Bound Encryption в Chrome. Исследователи рекомендуют ограничить политиками контроля приложений список процессов, которым разрешено запускать Chrome с параметром --headless, а также настроить оповещения о таких запусках со стороны недоверенных программ. Учётные данные следует хранить в защищённых аппаратных хранилищах.

Даже после удаления основного файла вредоносной программы может сохраниться лог %APPDATA%\volta_debug.txt. В нём содержатся временные метки, перечень собранных данных и сведения об успешности обращений к языковым моделям — эта информация может помочь при расследовании инцидента.

Если сид-фраза криптовалютного кошелька хранилась на скомпрометированном устройстве в открытом виде, такой кошелёк следует считать полностью раскрытым. Средства рекомендуется перевести на новый кошелёк с новой сид-фразой, созданной на изолированном от сети устройстве.