Вредонос VOLTA оценивает жертв через LLM и ищет у них ценные активы
Исследователи выявили самоудаляющийся стилер для Windows под названием VOLTA-AUTODOXER, который дополняет кражу данных профилированием жертвы с помощью больших языковых моделей. Программа собирает учётные данные, сессионные токены и сведения о криптовалютных кошельках, формирует пакет данных и отправляет его модели для оценки потенциальной финансовой выгоды от активов владельца устройства.
В стандартный набор похищаемого входят пароли из браузеров, файлы cookie, платёжные карты, сид-фразы кошельков, сессии Discord, Telegram, Steam и Roblox, токены Microsoft OAuth, ключи SSH и облачных сервисов, профили Wi-Fi и скриншоты. К этому добавляются геолокация, домашний адрес, место работы с доменом компании, предполагаемый год рождения, последние четыре цифры номера карты, рабочие пространства Slack и текущая стоимость аккаунта в Roblox.
Используя украденные сессии, программа дополняет досье в реальном времени: ищет в Gmail чеки Amazon, DoorDash, Uber Eats, Grubhub, Walmart и PayPal для подтверждения адреса, извлекает историю заказов из Uber Eats и DoorDash, собирает данные через Discord и запрашивает стоимость инвентаря Roblox на сайте Rolimons. Итог сохраняется в файл Identity_Report.txt, преобразуется в JSON и вместе с системным промптом отправляется POST-запросом на платформу OpenRouter.
Промпт предписывает модели действовать как аналитик, оценивающий цель, и требует раздел «Ценность» с классификацией активов по уровню потенциальной монетизации (низкий, средний, высокий), а также раздел «Безопасность» с оценкой защищённости жертвы и качества её паролей. Параметр температуры зафиксирован на значении 0,2 ради точности и последовательности, а при отказе модели программа переключается на цепочку из трёх других — это указывает на целенаправленный обход встроенных механизмов защиты.
Ответ модели сохраняется в файле AI_Analysis.txt и вместе с досье упаковывается в архив volta_dox.zip, который передаётся злоумышленникам. Весь обмен с ИИ происходит на устройстве жертвы через её собственное соединение ещё до отправки данных на внешний сервер, а собственной инфраструктуры у злоумышленников нет.
Вместо жёстко прописанных настроек VOLTA использует шаблон с шестью заменяемыми полями, заполняемыми при сборке, что указывает на модель «конструктора», продающего доступ клиентам. Зашифрованные учётные данные в этих полях защищены лишь формально: ключ представляет собой хеш SHA-256 от двух констант из самого файла и восстанавливается при реверс-инжиниринге, поэтому опцией может воспользоваться человек без технической подготовки.
Для защиты рекомендуется внедрить политику контроля приложений, ограничивающую процессы, которым разрешён запуск Chrome в режиме —headless, и настроить оповещения о таких запусках; это блокирует расшифровку данных, защищённых App-Bound Encryption. При компрометации стоит сохранить файл %APPDATA%volta_debug.txt с временными метками и сведениями о собранных данных, а кошелёк, сид-фраза которого хранилась на диске в открытом виде, следует считать скомпрометированным и перевести средства на новый, созданный на изолированном от сети устройстве.