Зафіксовано появу нового шкідливого програмного забезпечення для операційних систем Windows, яке відрізняється від попередніх зразків своєю здатністю до аналізу викрадених даних за допомогою штучного інтелекту. Цей інструмент, названий VOLTA-AUTODOXER, не просто збирає конфіденційну інформацію, але й класифікує потенційних жертв за рівнем їхньої фінансової привабливості, визначаючи найцінніші цілі для подальших кіберзлочинів.
Дослідники з Cisco Talos, використовуючи інструментарій Cognitive Artificial Intelligence Research Network (CAIRN), виявили цей штам вірусу. Його робота складається з чотирьох основних етапів: повне викрадення максимально можливого обсягу інформації, її передача штучному інтелекту для оцінки, експорт даних на сервери, контрольовані зловмисниками, та остаточне видалення слідів перебування з комп’ютера жертви.
На поверхневому рівні VOLTA-AUTODOXER виглядає як звичайний інфостілер, що збирає паролі з браузерів, файли cookie, платіжні картки, seed-фрази криптовалютних гаманців, сесії з месенджерів та ігрових платформ, токени OAuth, ключі доступу до SSH та хмарних сервісів, профілі Wi-Fi та робить скріншоти екрана. Однак, він виходить за рамки стандартних функцій, створюючи детальні досьє про користувачів.
Шкідливе ПЗ збирає геолокацію пристрою, домашню адресу, інформацію про роботодавця та домен його компанії, приблизний рік народження, останні чотири цифри номерів кредитних карток, дані з робочих чатів, метадані документів та індикатори резервних копій iPhone, а також оцінює вартість активних акаунтів у Roblox. Пошук електронних листів від сервісів доставки допомагає підтвердити домашню адресу.
Викрадені дані групуються та серіалізуються, після чого відправляються на платформу OpenRouter. Там штучний інтелект отримує завдання виступати в ролі “аналітика розвідки, який складає оцінку цілі”. Це означає, що ШІ визначає, чи варті зібрані дані уваги, і якщо так, то якою є їхня цінність. Жертви отримують рейтинг, що дозволяє зловмисникам ефективніше планувати подальші дії, ймовірно, для проведення атак програм-вимагачів.
У випадку відмови основного ШІ, вірус автоматично перемикається на альтернативні моделі, такі як Kimi K2 від Moonshot AI або Gemini 2.5 Flash від Google. Якщо жодна з моделей не спрацьовує, сирі дані надсилаються безпосередньо зловмисникам, найчастіше через Telegram-канал. Це вказує на модульну структуру шкідливого ПЗ, яка дозволяє змінювати компоненти та налаштування.
Після завершення операції VOLTA-AUTODOXER намагається видалити себе з системи, щоб уникнути виявлення. При цьому файл volta_debug.txt може залишатися на комп’ютері, містячи інформацію про зібрані дані та успішність аналізу за допомогою ШІ.
Кіберфахівці припускають, що VOLTA-AUTODOXER призначений для продажу на чорному ринку. Елементи, такі як Telegram-канал або API-ключі, не жорстко закодовані, а сам вірус функціонує як шаблон з шістьма змінними слотами, які заповнюються під час компіляції. Така гнучкість дозволяє користувачам з будь-яким рівнем технічної підготовки використовувати його для виявлення та оцінки цінності цільових жертв.
У разі підозри на зараження, рекомендується негайно відкликати або змінити всі API-ключі та токени, а також всі паролі. Додатково, варто ретельно перевірити криптогаманці та перевести кошти на новий гаманець зі свіжою seed-фразою.
