Cisco Talos описала Windows-стилер VOLTA-AUTODOXER, который добавляет к краже данных этап анализа с помощью больших языковых моделей. После сбора паролей, сессий, платёжных сведений, криптовалютных кошельков и других следов цифровой активности программа формирует структурированное досье на владельца компьютера. В него попадают как непосредственно похищенные записи, так и сведения, уточнённые через уже захваченные сессии: покупки, адреса, связи между аккаунтами и предполагаемая ценность игрового имущества.
Досье отправляется через OpenRouter языковой модели с инструкцией выступить в роли аналитика. От модели требуется оценить, какие активы проще монетизировать, распределить их по уровням ценности и описать качество защиты жертвы, включая привычки работы с паролями. Результат должен содержать ссылки на исходные факты. Таким образом, ИИ не помогает проникнуть в систему или украсть очередной пароль: он заменяет человека на этапе разбора уже собранного массива и расстановки приоритетов.
Разработчик предусмотрел отказы моделей выполнять вредоносную инструкцию. Ответы проверяются на характерные формулировки отказа, после чего запрос последовательно передаётся цепочке из трёх моделей. Если ключа для обращения к ИИ нет, основной стилер продолжает работать без аналитического этапа. Запрос выполняется с заражённого компьютера, а готовый анализ затем выгружается вместе с остальными материалами.
Talos предполагает, что VOLTA распространяется по модели конструктора: заказчик указывает собственные настройки, а сборщик создаёт отдельный исполняемый файл. Это означает, что автоматическая оценка жертв доступна операторам без аналитических навыков. Собственной серверной инфраструктуры у вредоноса нет — используются сторонние сервисы. Основной исполняемый файл способен удалять себя, но оставляет журнал с перечнем собранного и результатом обращения к модели.
После компрометации исследователи рекомендуют сохранить этот журнал, отозвать затронутые токены и сменить пароли. Средства с кошелька, чья seed-фраза хранилась открыто на диске, следует перевести на новый кошелёк. Для предотвращения части кражи токенов Talos советует ограничивать запуск Chrome в headless-режиме посторонними процессами и использовать аппаратно защищённые хранилища учётных данных.