VOLTA infostealer i shndërron të dhënat e vjedhura në dosje të krijuara nga AI
VOLTA infostealer, një Windows malware i krijuar për të vjedhur informacion, po përdor inteligjencën artificiale për t’i shndërruar të dhënat e papërpunuara të llogarive në dosje të renditura rreth viktimave dhe vlerës së tyre të mundshme financiare. Cisco Talos thotë se malware, i quajtur gjithashtu VOLTA-AUTODOXER ose VOLTA, ia dërgon provat e mbledhura një large language model (LLM), një sistem AI që analizon dhe gjeneron gjuhë, në mënyrë që operatorët të mos kenë nevojë të shqyrtojnë vetë çdo record të vjedhur.
VOLTA mbledh një gamë të gjerë të dhënash personale dhe biznesi. Objektivat e tij përfshijnë fjalëkalimet dhe cookies, të cilat janë records të browser-it që mund ta mbajnë një përdorues të identifikuar, nga browser-at e bazuar në Chromium. Ai kërkon gjithashtu profile të Outlook dhe workspaces të Slack, të dhëna të kartave të pagesave, seed phrases të cryptocurrency wallets, sessions të Discord, Telegram, Steam dhe Roblox, Microsoft OAuth tokens që përdoren për të autorizuar aksesin në llogari, profile Wi-Fi dhe screenshots. Malware merr gjithashtu SSH keys dhe cloud-provider keys, kredenciale digjitale që mund të lejojnë akses në sisteme në distancë dhe burime cloud.
Cisco Talos zbuloi se VOLTA e bashkon këtë material në një paketë të strukturuar provash, që synon të përshkruajë personin i cili përdor kompjuterin e komprometuar. Dosja mund të përmbajë informacione për gjeolokacionin dhe adresën e shtëpisë, punëdhënësin e viktimës dhe domain-in e punëdhënësit, një vitlindje të hamendësuar, katër shifrat e fundit të kartave, workspaces të Slack, metadata për autorësinë e dokumenteve, shenja të iPhone backups dhe një vlerësim në kohë reale të një llogarie Roblox. Kjo i jep operatorit më shumë kontekst sesa një listë e zakonshme fjalëkalimesh të vjedhura.
Malware përdor gjithashtu një session ekzistues të vjedhur për të kërkuar fatura në llogarinë Gmail të viktimës. Ai kërkon mesazhe të lidhura me Amazon, DoorDash, Uber Eats, Grubhub, Walmart dhe PayPal, duke nxjerrë informacione porosish që mund të vërtetojnë një adresë shtëpie. Pas mbledhjes, VOLTA serialises provat, që do të thotë se i paketon të dhënat në një format që mund të përpunohet nga një sistem tjetër, dhe i dërgon ato përmes OpenRouter, një gateway që i drejton kërkesat te modele të ndryshme AI.
Modeli i parazgjedhur është Claude Opus 4.6 i Anthropic. Nëse kjo kërkesë dështon, VOLTA mund të kalojë te Kimi K2 i Moonshot AI dhe më pas te Gemini 2.5 Flash i Google. Talos thotë se malware kontrollon përgjigjet për formulime që tregojnë se një model e ka refuzuar kërkesën, si deklarata se nuk mund ta përmbushë atë, përpara se të provojë modelin tjetër në një zinxhir me deri në tre modele. Ky projektim me disa modele synon ta mbajë analizën funksionale kur një shërbim e refuzon detyrën.
Një system prompt me 240 fjalë, një grup udhëzimesh që kontrollon mënyrën se si përgjigjet një model AI, i thotë modelit të veprojë si analist i inteligjencës forenzike. Ai gjithashtu e urdhëron sistemin të mbështetet vetëm në paketën e dhënë të provave, në vend që të shtojë fakte nga të dhënat e tij të trajnimit. Vlerësimi i kërkuar përfshin një seksion që i rendit sendet me vlerë sipas mundësisë së monetizimit si të ulët, të mesëm ose të lartë, si edhe një vlerësim të sigurisë operative dhe zakoneve të viktimës për fjalëkalimet. Talos e karakterizon modelin si një analist triage që e shndërron një credential log në një dosje me përparësi, të shoqëruar me referenca mbështetëse ndaj provave të vjedhura.
Procesi exfiltration, transferimi i paautorizuar i të dhënave jashtë një pajisjeje, kryhet përmes Telegram në tri faza. Menjëherë pas ekzekutimit, VOLTA dërgon fjalëkalime të browser-it, cookies, karta, informacione për cryptocurrency, tokens të Discord, Steam dhe Roblox, fjalëkalime Wi-Fi dhe screenshots. Një transferim i dytë bëhet pas kërkesës drejtuar AI dhe përmban si informacionin e kapur, ashtu edhe analizën e modelit. Një paketë përfundimtare dërgohet pas live enrichment, duke përfshirë faturat e Gmail dhe historikun e porosive të gjetura përmes session-it të vjedhur.
VOLTA përmban gjithashtu një build-time template me gjashtë slots të konfigurueshme, duke përfshirë destinacionin në Telegram, application programming interface (API) keys që përdoren për të hyrë në shërbime online dhe cilësime të tjera. Talos thotë se ky projektim mund të tregojë se autori po u reklamon klientëve një builder kit ose po operon një shërbim të personalizuar që krijon një executable të veçantë për çdo porosi. Ky status mbetet i pasigurt. Nëse po shitet si commodity malware, funksioni i renditjes do t’u mundësonte klientëve me pak njohuri teknike të merrnin vlerësime me përparësi për viktimat drejtpërdrejt përmes Telegram. Talos e përshkruan VOLTA si një stealer të pjekur, të cilit i është shtuar në një fazë të vonë një komponent AI, kryesisht për të zvogëluar punën analitike që kërkohet nga operatori i tij.
Gjetjet ilustrojnë një përdorim më të gjerë të generative AI në rrjedhat kriminale të punës. Zscaler ThreatLabz thotë se teknologjia është e përshtatshme për klasifikimin dhe kërkimin në sasi të mëdha materiali pasi një sulmues fiton akses në një sistem. Ajo mund të ndihmojë në gjetjen e të dhënave me vlerë ose sensitive për vjedhje apo për encryption gjatë një faze të mëvonshme. Për shembull, një operator ransomware mund ta përdorë këtë qasje për të identifikuar informacionin më sensitive në një network të komprometuar dhe për të rritur presionin ndaj viktimës që të paguajë.
Cisco Talos përshkroi së fundmi edhe NIK C2, një remote access tool për Windows, i bazuar në Go, që siguron kontroll të vazhdueshëm mbi host-et e komprometuara. Termi command-and-control (C2) i referohet infrastrukturës përmes së cilës një sulmues u dërgon udhëzime pajisjeve të infektuara. NIK C2 mbështet më shumë se 52 komanda dhe përfshin remote access, vjedhje kredencialesh, keylogging, që regjistron input-in nga tastiera, mbikëqyrje, defence evasion dhe aftësi ransomware. Ai integron gjithashtu një OpenAI client, në mënyrë që të dhënat e vjedhura të mund të analizohen gjatë të njëjtit session të komprometuar, në vend që të përpunohen më vonë.
NIK C2 kontrollon fillimisht nëse sulmuesi ka dhënë një OpenAI API key. Nëse jo, ai kërkon në environment variables të viktimës, cilësime sistemi të përdorura nga programet, për string-un "OPENAI_API_KEY" dhe përdor çdo kredencial që përputhet. Ky është LLMjacking, vjedhja e aksesit të një pale tjetër në shërbimet AI për të kryer punën e sulmuesit, ndërkohë që pronari legjitim paguan për burimet kompjuterike. Talos thotë se ky është një funksion operacional i qëllimshëm dhe jo thjesht një backup, dhe se ai mund ta bëjë gjithashtu më të vështirë përcaktimin se kush i ka dërguar kërkesat. Duke kombinuar mbledhjen dhe analizën në një session të vetëm e të vazhdueshëm, framework mund të eliminojë vonesat e përpunimit që më parë u jepnin mbrojtësve kohë për të zbuluar aktivitetin.
Për bizneset që vlerësojnë këtë lloj ekspozimi të kredencialeve dhe infrastrukturës, AEU-I ofron IT, infrastrukturë dhe konsulencë me sigurinë si përparësi. VOLTA dhe NIK C2 tregojnë se të dhënat e vjedhura nuk mblidhen më thjesht: sistemet AI mund t’i organizojnë ato menjëherë, të identifikojnë llogaritë më të vlefshme dhe të zvogëlojnë përpjekjet e nevojshme për të shfrytëzuar një person ose organizatë të komprometuar.