Исследователи обнаружили вредоносную программу VOLTA-AUTODOXER, которая не просто крадет данные с компьютера, но и использует ИИ для оценки жертвы.
Вирус собирает информацию о человеке, отправляет ее в Claude и получает отчет о том, сколько денег можно на нем заработать и насколько хорошо он защищает свои аккаунты.
Читают прямо сейчас:
Что такое malware: виды вредоносного ПО и защита от него — какие бывают вирусы и трояны, включая стилеры данных, и как от них защититься
Что такое социальная инженерия и при чём тут кибербезопасность — как злоумышленники используют собранные о человеке данные, чтобы добраться до его аккаунтов
Цифровой след: что это такое, виды, как управлять — какие данные о вас остаются в сети и почему из них можно собрать целый профиль
Что крадет вирус
VOLTA работает под Windows и удаляет себя после выполнения задачи. Вирус собирает пароли и cookies браузеров, данные банковских карт и криптокошельков, сессии Discord, Telegram, Steam и Roblox, токены Microsoft, SSH-ключи и настройки облачных сервисов.
Также вирус сохраняет пароли от Wi-Fi и делает снимки экрана.
Но на этом сбор не заканчивается. Программа пытается установить личность владельца компьютера: выясняет его местоположение и домашний адрес, работодателя, примерный год рождения, последние четыре цифры банковских карт и рабочие аккаунты Slack.
Она также проверяет наличие резервных копий iPhone и оценивает стоимость аккаунта Roblox.
Для этого вирус использует украденные сессии. Например, он ищет в Gmail чеки из Amazon, PayPal и сервисов доставки еды, чтобы подтвердить домашний адрес. Историю заказов Uber Eats и DoorDash получает напрямую из аккаунтов жертвы.
Как ИИ помогает выбирать жертв
Собранные сведения программа объединяет в файл Identity_Report.txt, а затем отправляет через сервис OpenRouter языковой модели. По умолчанию используется Claude Opus 4.6. Если модель отказывается выполнять запрос, вирус пробует обратиться к Kimi K2, а затем к Gemini 2.5 Flash.
В инструкции для ИИ сказано выступать в роли аналитика, который готовит оценку потенциальной жертвы. Отчет должен содержать два ключевых раздела:
- «Сколько они стоят» — список активов, которые можно монетизировать, с оценкой их ценности.
- «Их защита» — анализ безопасности аккаунтов и качества паролей.
ИИ также должен сопоставлять разрозненные сведения. Например, искать связь между именем, адресом, местом учебы человека и используемыми им паролями.
Как распространяют вирус
VOLTA использует систему шаблонов с шестью полями, которые можно менять перед сборкой программы. В них подставляются настройки и данные заказчика.
Это указывает на модель, при которой разработчик вредоноса может продавать его другим злоумышленникам, создавая отдельные версии под каждого покупателя.
Исследователи отмечают, что встроенное шифрование этих настроек ненадежно — ключ можно восстановить при анализе программы. При этом вся инфраструктура, которую удалось обнаружить, принадлежит сторонним сервисам, а не самим операторам вируса.
Как защититься
Исследователи советуют ограничить запуск Chrome в режиме --headless для неизвестных программ. Именно этот режим VOLTA использует для обхода защиты браузера.
Также стоит следить за необычными запусками Chrome и хранить пароли в аппаратно защищенных хранилищах.
Если компьютер уже заражен, стоит сохранить файл %APPDATA%\volta_debug.txt. В нем остается журнал с указанием времени и перечнем собранных данных, а также результатом обращения к ИИ. После этого нужно сменить пароли и отозвать потенциально украденные токены доступа.
Скидка на все курсы Практикума
Раз вы дочитали эту новость до конца, с технологиями у вас всё в порядке. А если давно присматривались к разработке, аналитике, нейросетям, тестированию или кибербезопасности, сейчас туда можно зайти дешевле.
Промокод KOD (можно просто нажать) даст скидку на любой платный курс! А если пока не готовы покупать курс, у Практикума есть бесплатные вводные части.
