Исследователи Cisco Talos описали вредоносную программу VOLTA-AUTODOXER для Windows: после её работы на компьютере может остаться журнал собранных данных. Программа крадёт не только пароли, но и сведения о человеке.
VOLTA-AUTODOXER, или VOLTA, относится к программам для кражи данных. Исследователи обнаружили в ней дополнительный этап: после сбора сведений программа составляет досье и передаёт его языковой модели. Та должна определить, какие активы жертвы можно монетизировать, а также оценить защищённость её учётных записей и привычки при выборе паролей. Если доступ к модели не настроен, VOLTA способна работать без этого этапа.
Сначала вредонос извлекает сохранённые в браузерах пароли, файлы cookie и данные платёжных карт. В числе других целей исследователи называют почтовые профили Thunderbird и Outlook, сеансы Discord, Telegram и игровых сервисов, токены Microsoft OAuth, SSH-ключи и файлы конфигурации облачных сервисов. Программа также сохраняет скриншоты и получает пароли всех сохранённых сетей Wi-Fi в открытом виде. Если на компьютере есть криптовалютные кошельки, VOLTA копирует их данные и пытается взломать хранилища.
Собранным на компьютере вредонос не ограничивается. Используя украденный доступ к действующим сеансам, он ищет в Gmail письма с чеками, которые помогают подтвердить домашний адрес. VOLTA обращается к истории заказов Uber Eats и DoorDash, получает дополнительные сведения о профиле Discord и проверяет стоимость предметов в аккаунте Roblox через сервис Rolimons.
В досье могут попасть местоположение и домашний адрес, место работы и домен работодателя, предполагаемый год рождения, последние четыре цифры платёжных карт, рабочие пространства Slack и сведения об авторах документов. Программа также отмечает признаки наличия резервных копий iPhone. Эти сведения она объединяет в локальном файле Identity_Report.txt, а затем отправляет через сервис OpenRouter вместе с запросом к языковой модели.
Запрос предписывает модели выступить аналитиком и подготовить оценку человека как цели, подкрепляя выводы ссылками на собранные сведения. Один раздел ответа должен расположить ценности по потенциальной выгоде и присвоить им низкий, средний или высокий уровень. Другой посвящён защищённости жертвы и качеству её паролей. Модели также предлагают искать связи между разрозненными деталями, например именами, адресами или учебными заведениями и содержимым паролей.
Первой в коде указана модель Claude Opus 4.6. VOLTA проверяет её ответ на формулировки отказа; при неудаче программа может перейти к Kimi K2, а затем к Gemini 2.5 Flash. Эта последовательность указана в конфигурации вредоноса. Исследователи не выводили её из результатов запросов. Обращение к модели происходит с компьютера жертвы через его сетевое подключение.
Полученный ответ сохраняется в AI_Analysis.txt. Вместе с исходным досье он может попасть в архив volta_dox.zip для отправки злоумышленнику. Отправка возможна и на других этапах: после первоначального сбора данных формируется volta_log.zip, а при появлении дополнительных сведений из сетевых сервисов программа может отправить volta_doxnet.zip. Все обнаруженные исследователями конечные точки принадлежат сторонним сервисам; отдельной инфраструктуры злоумышленника они не нашли.
Удаление основного файла VOLTA не означает, что исчезнут все следы. Исследователи советуют сохранить файл журнала в папке AppData, если он остался на компьютере: в нём указано время сбора данных, перечислено похищенное и отмечено, удался ли запрос к языковой модели. При заражении они рекомендуют отозвать потенциально скомпрометированные токены и сменить пароли. Если фраза восстановления криптовалютного кошелька хранилась на диске открытым текстом, кошелёк следует считать скомпрометированным и перевести средства на новый.
