Jauna datu zagšanas programma ar MI pati sastāda upuru dosjē un vērtē viņu aktīvus

Kiberdrošības uzņēmuma Cisco Talos pētnieki aprakstījuši jaunu informācijas zagšanas programmu jeb infostealer, kas pati sevi dēvē par VOLTA-AUTODOXER. Tās īpatnība ir papildu solis pēc datu nozagšanas: programma no upura datora savāktos datus apkopo vienā pārskatā un nosūta lielajam valodas modelim, kurš sagatavo strukturētu upura novērtējumu un sarindo viņa aktīvus pēc tā, cik viegli tos varētu pārvērst naudā.

Pētījums ir svarīgs, jo tas parāda, kā MI tiek izmantots nevis jaunu uzlaušanas paņēmienu radīšanai, bet gan darbam, kas līdz šim prasīja cilvēka laiku. Talos pētnieks Raiens Fetermens žurnālam WIRED skaidroja, ka modelis šeit darbojas kā analītiķis, kas palīdz uzbrucējam ātrāk atrast vērtīgākos upurus, pirms nozagtās paroles nomainītas un piekļuves žetoni beidzas. Viņš arī norādīja, ka Talos nav sekojis, vai VOLTA jau izmantota reālos uzbrukumos.

Pati datu vākšana ir plaša. Programma no Chromium pārlūkiem, Firefox un citām lietotnēm paņem saglabātās paroles, sīkdatnes un maksājumu kartes, kā arī Discord, Telegram, Steam un Roblox sesijas, Microsoft piekļuves žetonus, SSH un mākoņpakalpojumu atslēgas, saglabātās Wi-Fi paroles un kriptovalūtu maku frāzes. Pēc tam ar nozagtajām sesijām tā meklē upura Gmail pastkastē pirkumu kvītis, lai noteiktu mājas adresi, un ielādē pasūtījumu vēsturi no ēdiena piegādes servisiem Uber Eats un DoorDash.

Apkopotos datus VOLTA caur starpnieku servisu OpenRouter nosūta modelim ar norādi rīkoties kā „kriminālistikas izlūkošanas analītiķim”. Pēc noklusējuma tiek izmantots Anthropic modelis Claude Opus 4.6. Ja modelis atsakās, programma pārslēdzas uz Moonshot AI modeli Kimi K2 un pēc tam uz Google Gemini 2.5 Flash. Pētnieki to vērtē kā pazīmi, ka autori jau iepriekš rēķinājušies ar modeļu drošības ierobežojumiem. Bez MI daļas programma darbojas tāpat.

Talos uzskata, ka VOLTA, visticamāk, tiek pārdota kā konstruktors: pircējs ievada savus iestatījumus, piemēram, Telegram kanālu un API atslēgas, un saņem sev pielāgotu programmas versiju. Tas nozīmē, ka upuru automātisku profilēšanu varētu izmantot arī mazāk prasmīgi uzbrucēji. Programma pēc darba pati sevi izdzēš, un tai nav uzbrucējiem piederošas infrastruktūras, jo dati tiek sūtīti caur trešo pušu servisiem.

Kā aizsardzību pētnieki iesaka ierobežot, kuri procesi drīkst palaist pārlūku Chrome bezgalvas režīmā, jo uz to balstās daļa sesiju zagšanas. Ja dators ir inficēts, jāatsauc visi iespējami nozagtie piekļuves žetoni un jānomaina paroles. Kriptovalūtu maks, kura frāze glabājusies datorā nešifrētā veidā, jāuzskata par pilnībā kompromitētu, un līdzekļi jāpārvieto uz jaunu maku.