Malware VOLTA kradnie dane i prosi AI o „wycenę” ofiar. Zagrożony m.in. Gmail, Discord i szereg innych usług

Malware VOLTA-AUTODOXER został po raz pierwszy opisany przez badacza Cisco Talos – Ryana Fettermana. Jak się okazuje, w tym wypadku złośliwe oprogramowanie automatyzuje nie tylko pozyskiwanie danych, ale i ich analizę – dzięki temu przestępcy mogą w konsekwencji ataku dostać zarówno szereg dostępów do usług, z których korzysta ofiara, jak i kompletny raport dot. jej „wartości” i tego, ile pieniędzy można potencjalnie „wycisnąć” z ataku.

VOLTA nie ogranicza się do kradzieży haseł

VOLTA zbiera znacznie więcej informacji niż tylko dane logowania zapisane w przeglądarkach. Oprócz tego pozyskuje z zainfekowanych urządzeń także ciasteczka, zapisane karty płatnicze i tokeny uwierzytelniające, w tym tokeny Microsoft OAuth. Na tym jednak nie koniec: kradnie też dane z Firefoksa, Thunderbirda i Outlooka oraz sesje Slacka, Steama, Battle.net, Discorda, Telegrama i Robloxa. Do „worka” trafiają także klucze SSH, konfiguracje usług chmurowych, hasła do zapamiętanych sieci Wi-Fi, a nawet zrzuty ekranu. Złośliwy kod potrafi ponadto próbować łamać zabezpieczenia skradzionych portfeli kryptowalutowych.

Szczególnie groźne jest przejmowanie aktywnych sesji. Dzięki skradzionym tokenom przestępcy mogą korzystać z niektórych usług jako zalogowany użytkownik, bez podawania hasła. VOLTA używa tego do wzbogacania danych o ofierze: przeszukuje skrzynkę Gmail pod kątem potwierdzeń zakupów m.in. z Amazona, PayPala, Walmartu czy Grubhuba i analizuje historię zamówień z Uber Eats oraz DoorDash. W ten sposób może potwierdzić adres zamieszkania właściciela komputera, który wcześniej ustalono na podstawie geolokalizacji. „Trzepanie” użytkownika jest tak szczegółowe, że malware… sprawdza nawet wartość konta w Robloxie, rozpytując się na ten temat w serwisie Rolimons.

Spodoba Ci się

Aktualności

Chiny i Rosja planują pozbycie się Starlinka. Pomóc ma w tym m.in. malware i działania zbrojne na orbicie

Aktualności

Takiego malware jeszcze nie było. Ten nowy infostealer wykorzystuje natywne mechanizmy systemu

Aktualności

Nabici w butelkę wina. Europejscy dyplomaci celem rosyjskiego malware’u

VOLTA: najpierw Claude, a gdy ten odmówi, to Kimi i Gemini

Według badacza z Cisco wszystkie te zebrane informacje trafiają do pliku Identity_Report.txt, który zawiera m.in. adres, namiary na pracodawcę, szacowany rok urodzenia i ostatnie cztery cyfry kart płatniczych. Plik ten jest wysyłany przez platformę OpenRouter do modelu AI, któremu polecono wcielić się w analityka wywiadowczego i przygotować ocenę ofiary jako potencjalnego celu. Model ma też próbować wiązać ze sobą rozproszone dane – np. imiona, adresy czy uczelnie ofiary – ze schematami w jej hasłach, co potem jest wykorzystywane w próbach uzyskiwania dostępu do usług, których nie udało się wcześniej przejąć.

Domyślnie w profilowaniu wykorzystywany jest Claude Opus 4.6, jednakże w przypadku odmowy malware próbuje kolejno Kimi K2 i Gemini 2.5 Flash. Według Cisco Talos świadczy to o tym, że autorzy spodziewali się trafić na zabezpieczenia modeli i cóż, próbują je ominąć przez wykorzystywanie alternatyw.

Celem tych wszystkich zabiegów jest zaś wygenerowanie raportu, który wskazuje na „wartość’ ofiary i podaje jak na tacy zasoby ofiary – te, które mają dla przestępców największą wartość. AI ocenia w dokumencie kolejne pozycje w trzystopniowej skali (niska, średnia, wysoka), a osobno analizuje zabezpieczenia użytkownika, w tym jakość haseł. Etap AI jest opcjonalny: jeśli analiza się nie powiedzie, to programy tak czy inaczej wysyła zebrane dane przez Telegram – tyle że w postaci „surowej”.

Gotowy produkt, a nie narzędzie jednego atakującego

Co jeszcze gorsze, Cisco Talos zwraca uwagę na to, że malware VOLTA jest najprawdopodobniej… oprogramowaniem komercyjnym, o czym świadczy fakt, że kanał Telegram i klucze API nie są wpisane na stałe w kod – przestępcy mogą je wstawiać do programu podczas kompilacji. Software potrafi też po sobie sprzątać, usuwając się z komputera po zakończeniu działania, co utrudnia wykrycie infekcji.

Oczywiście to nie pierwszy złośliwy software wykorzystujący AI – tutaj jednak nowość polega na tym, że sztuczna inteligencja nie usprawnia podstawowej warstwy działania, a więc samej infekcji, a zastępuje pracę człowieka przy ocenie łupu. A to pozwala sprawnie przesiewać ofiary i skupiać się tych, które „dobrze rokują”.