Шкідник краде паролі й просить ШІ скласти досьє
Cisco Talos знайшли інфостілер Volta-Autodoxer. Він збирає паролі з браузерів, токени Microsoft OAuth, cookies, картки й сид-фрази. Потім шукає в Gmail чеки та історію замовлень. Зібране досьє через OpenRouter іде в Claude Opus 4.6, а якщо модель відмовить, то в Kimi K2 чи Gemini 2.5 Flash. Без ШІ шкідник теж працює. Чи використовували його в реальних атаках, Talos не відстежували.
ШІ тут пришвидшує відбір найцінніших жертв, поки токени ще не протухли. За словами дослідника, є ознаки, що Volta створено на продаж різним зловмисникам.
Як Volta збирає дані: два проходи
Перший прохід широкий. Окрім паролів із браузерів, токенів Microsoft OAuth, cookies, платіжних карток і сид-фраз криптогаманців, Volta забирає активні сесії Discord, Telegram, Steam і Roblox. За оцінкою Cisco Talos, набір цілей, схоже, розрахований на молодших користувачів з активним цифровим життям.
Другий прохід спирається на знайдене в першому. Через Gmail або інший центральний обліковий запис шкідник з'ясовує, де живе людина і які в неї звички. Для цього він використовує чеки й історію замовлень із сервісів на кшталт UberEats і DoorDash. Інфостілери зазвичай ховаються в підробленому програмному забезпеченні.
Що шкідник замовляє в моделі
Автори Volta написали для моделі інструкцію на 240 слів зі списками. Модель має виступити як forensic intelligence analyst і скласти оцінку цілі. До неї входять стисле резюме про людину, опис того, чим вона займається, і того, «скільки вона варта», а також оцінка того, наскільки людина дбає про власну безпеку. Окремо модель просять «зв'язувати точки» між полями, наприклад перевірити, чи збігається пароль від Wi-Fi із прізвищем. Підсумкова вимога: Go deep, not wide.
За словами Раяна Феттермана з Talos, промпт ретельно складено так, щоб він не виглядав відверто зловмисним. Водночас автори заздалегідь розраховують на відмову моделі й передбачили перехід до поступливіших. Резервні варіанти та дешевші моделі старшого покоління — поширений прийом серед зловмисників. Volta виявили за допомогою нової системи Talos CAIRN, створеної для пошуку хакерських інструментів із ШІ-можливостями.
Чому це стосується компаній
Облікові дані, вкрадені інфостілерами, стояли за кількома найбільшими витоками останніх років. Серед них хвиля зламів, пов'язаних зі Snowflake (постраждали зокрема AT&T і Ticketmaster), і крадіжка терабайта даних Disney. Загалом такими шкідниками за останні роки викрали сотні мільйонів облікових даних.
Volta — не поодинокий випадок використання ШІ в атаках. У CrowdStrike нещодавно розповіли WIRED про чотири різні групи: китайськомовну, іспано- та англомовну, індонезійську й російськомовну. За допомогою ШІ-інструментів вони зламали десятки цілей у світі, зокрема державні установи та компанії з охорони здоров'я, ритейлу й туризму. Феттерман підсумовує, що просунуті можливості стають доступними менш кваліфікованим зловмисникам.
Що з цього випливає на практиці
- Головний ресурс атаки — час: токени спливають, паролі можна змінити. Що швидше після підозри на зараження змінено паролі й завершено активні сесії, то менше користі зловмисникам від досьє.
- Не встановлюйте підроблене чи «зламане» ПЗ: саме в ньому зазвичай ховаються інфостілери.
- Найсильніше захищайте пошту, до якої прив'язані інші сервіси. Саме через неї Volta дістає чеки, адреси й звички.
- Не складайте паролі з особистих даних: приклад із Wi-Fi і прізвищем прямо закладено в інструкцію моделі.
Межа загрози: ШІ тут лише надбудова. Шкідник працює й без моделі, тож відмова моделі зупиняє лише сортування жертв, а не саму крадіжку.