В Windows-стилере VOLTA обнаружили ИИ-функцию для ранжирования активов жертвы
Вредоносная программа собирает данные с заражённого компьютера, формирует досье и по умолчанию отправляет его Claude для ранжирования активов по потенциальной ценности. Если модель отказывается отвечать, VOLTA может переключиться на другие ИИ-сервисы или обойтись без этого этапа.
Cisco Talos сообщила о Windows-вредоносе VOLTA-AUTODOXER, который использует языковые модели для автоматической оценки собранных у жертвы данных. Как сообщает Tom’s Hardware со ссылкой на Talos, программа по умолчанию обращается к Claude через сервис OpenRouter и просит составить краткую оценку привлекательности цели, включая список активов, упорядоченный по возможной денежной ценности.
VOLTA собирает пароли, cookie-файлы и сохранённые платёжные карты из браузеров, профили Thunderbird и Outlook, токены Microsoft OAuth, данные аккаунтов Roblox, снимки экрана, а также конфигурационные файлы SSH и облачных сервисов. Программа извлекает сохранённые пароли Wi‑Fi в открытом виде. При обнаружении криптокошельков она не ограничивается копированием файлов, а пытается вскрыть их хранилища непосредственно на заражённом устройстве.
Из этих сведений стилер формирует локальный файл Identity_Report.txt и JSON-досье. В него могут попасть геолокация и домашний адрес, место работы и домен работодателя, предполагаемый год рождения, метаданные авторства документов и последние четыре цифры банковских карт. Затем данные отправляются в OpenRouter; ответ модели сохраняется в AI_Analysis.txt. Оба файла архивируются и передаются злоумышленникам в архиве volta_dox.zip.
Программа способна дополнять досье, используя украденные сессии. В частности, она ищет в Gmail чеки Amazon, DoorDash, Uber Eats, Grubhub, Walmart и PayPal для подтверждения домашнего адреса, получает историю заказов Uber Eats и DoorDash, использует токен Discord для заполнения профиля жертвы и оценивает предметы Roblox через Rolimons.
По данным Tom’s Hardware, в настройках VOLTA по умолчанию указана Claude Opus 4.6 с температурой 0,2. Вредонос проверяет ответы на признаки отказа или недостаточную содержательность и в таком случае последовательно пробует Kimi K2 и Gemini 2.5 Flash. Если оператор не укажет API-ключ OpenRouter, собранное досье всё равно можно отправить через Telegram — но без ИИ-анализа.
В коде предусмотрены заменяемые параметры для Telegram-канала, API-ключей и настроек, которые подставляются при сборке исполняемого файла. Это, по оценке издания, указывает на возможное распространение VOLTA как продукта для других злоумышленников.
Часть кражи токенов основана на обходе Chrome App-Bound Encryption: для этого VOLTA запускает Chrome в безголовом режиме. Политика контроля приложений, ограничивающая список процессов, способных запускать Chrome в безголовом режиме, блокирует этот путь расшифровки данных Chrome, но не предотвращает остальные функции стилера и передачу информации.
После заражения основной исполняемый файл может удалить себя. При этом на компьютере жертвы должен остаться журнал volta_debug.txt, в котором фиксируются собранные данные и результат обращения к языковой модели. Tom’s Hardware рекомендует при подозрении на заражение отозвать или сменить все API-ключи и токены, сменить пароли, а средства из кошельков, чьи seed-фразы хранились открыто, перевести в новый кошелёк с новой фразой восстановления.