Зафиксировано появление нового вредоносного программного обеспечения для операционных систем Windows, которое отличается от предыдущих образцов своей способностью к анализу украденных данных с помощью искусственного интеллекта. Этот инструмент, названный VOLTA-AUTODOXER, не просто собирает конфиденциальную информацию, но и классифицирует потенциальных жертв по уровню их финансовой привлекательности, определяя наиболее ценные цели для дальнейших киберпреступлений.
Исследователи из Cisco Talos, используя инструментарий Cognitive Artificial Intelligence Research Network (CAIRN), обнаружили этот штамм вируса. Его работа состоит из четырех основных этапов: полное хищение максимально возможного объема информации, ее передача искусственному интеллекту для оценки, экспорт данных на серверы, контролируемые злоумышленниками, и окончательное удаление следов пребывания с компьютера жертвы.
На поверхностном уровне VOLTA-AUTODOXER выглядит как обычный инфостилер, собирающий пароли из браузеров, файлы cookie, платежные карты, seed-фразы криптовалютных кошельков, сессии из мессенджеров и игровых платформ, токены OAuth, ключи доступа к SSH и облачным сервисам, профили Wi-Fi и делает скриншоты экрана. Однако, он выходит за рамки стандартных функций, создавая подробные досье о пользователях.
Вредоносное ПО собирает геолокацию устройства, домашний адрес, информацию о работодателе и домене его компании, примерный год рождения, последние четыре цифры номеров кредитных карт, данные из рабочих чатов, метаданные документов и индикаторы резервных копий iPhone, а также оценивает стоимость активных аккаунтов в Roblox. Поиск электронных писем от сервисов доставки помогает подтвердить домашний адрес.
Украденные данные группируются и сериализуются, после чего отправляются на платформу OpenRouter. Там искусственный интеллект получает задачу выступать в роли «аналитика разведки, составляющего оценку цели». Это означает, что ИИ определяет, стоят ли собранные данные внимания, и если да, то какова их ценность. Жертвы получают рейтинг, позволяющий злоумышленникам эффективнее планировать дальнейшие действия, вероятно, для проведения атак программ-вымогателей.
В случае отказа основного ИИ, вирус автоматически переключается на альтернативные модели, такие как Kimi K2 от Moonshot AI или Gemini 2.5 Flash от Google. Если ни одна из моделей не срабатывает, сырые данные отправляются напрямую злоумышленникам, чаще всего через Telegram-канал. Это указывает на модульную структуру вредоносного ПО, которая позволяет изменять компоненты и настройки.
После завершения операции VOLTA-AUTODOXER пытается удалить себя из системы, чтобы избежать обнаружения. При этом файл volta_debug.txt может оставаться на компьютере, содержа информацию о собранных данных и успешности анализа с помощью ИИ.
Киберспециалисты предполагают, что VOLTA-AUTODOXER предназначен для продажи на черном рынке. Элементы, такие как Telegram-канал или API-ключи, не жестко закодированы, а сам вирус функционирует как шаблон с шестью переменными слотами, которые заполняются во время компиляции. Такая гибкость позволяет пользователям с любым уровнем технической подготовки использовать его для выявления и оценки ценности целевых жертв.
В случае подозрения на заражение, рекомендуется немедленно отозвать или изменить все API-ключи и токены, а также все пароли. Дополнительно, стоит тщательно проверить криптокошельки и перевести средства на новый кошелек со свежей seed-фразой.
