Cyberprzestępcy wykorzystują popularne modele sztucznej inteligencji (AI), takie jak Claude firmy Anthropic, Gemini firmy Google i Kimi AI firmy Moonshot AI, do oceny wartości finansowej potencjalnych ofiar, w tym osób posiadających kryptowaluty.
Badacze bezpieczeństwa cybernetycznego z Cisco Talos szczegółowo opisali w nowym raporcie, w jaki sposób nowy typ złośliwego oprogramowania dla systemu Windows, nazwany VOLTA-AUTODOXER, w skrócie VOLTA, kradnie poufne dane i wykorzystuje narzędzia AI do identyfikowania potencjalnie lukratywnych celów wśród zainfekowanych użytkowników.
W porównaniu z tradycyjnym złośliwym oprogramowaniem kradnącym informacje, które głównie kradnie hasła i dane uwierzytelniające, VOLTA może również analizować skradzione dane, aby tworzyć profile ofiar i określać, jakie zasoby hakerzy mogą potencjalnie wykorzystać dla zysku.
Portfele kryptowalut jako główne cele
Warto zauważyć, że jedną z najniebezpieczniejszych funkcji VOLTA jest zdolność do wyodrębniania poufnych informacji o portfelach kryptowalut, w tym fraz odzyskiwania (seed phrases), co potencjalnie może dać atakującym dostęp do aktywów cyfrowych.
VOLTA zawiera również funkcje, które mogą łamać sejfy portfeli kryptowalut, stanowiąc duże ryzyko dla osób przechowujących dane uwierzytelniające do portfeli kryptowalut na swoich komputerach.
Jednak jej funkcje nie ograniczają się tylko do kradzieży kryptowalut.
Jak wyjaśnił badacz bezpieczeństwa z Cisco Talos, Ryan Fetterman, VOLTA może również przechwytywać zapisane hasła przeglądarki, informacje o kartach płatniczych, tokeny uwierzytelniające, dane uwierzytelniające do poczty e-mail i aktywne sesje na popularnych platformach, takich jak Telegram, Discord, Steam i Roblox.
Może również wyodrębniać informacje z kont Outlook i przestrzeni roboczych Slack, a także inne informacje osobiste i zawodowe z zainfekowanego systemu.
Złośliwe oprogramowanie posuwa się jeszcze dalej, analizując konta e-mail ofiar w celu uzyskania większej ilości danych osobowych.
Na przykład może skanować konta Gmail w poszukiwaniu potwierdzeń zakupów i paragonów z usług takich jak Amazon, PayPal, Walmart, DoorDash i Uber Eats.
W ten sposób atakujący mogą uzyskać więcej szczegółów na temat tożsamości ofiary, adresu domowego, pracy i nawyków wydatkowych.
Modele AI takie jak Claude, Gemini i Kimi
Złośliwe oprogramowanie może wysyłać skradzione dane do modeli AI za pośrednictwem usługi OpenRouter, która zapewnia dostęp do kilku modeli AI.
Najpierw próbuje przetworzyć zebrane dane za pomocą Claude Opus 4.6 firmy Anthropic.
Jeśli modelowi nie uda się przetworzyć żądania, VOLTA ma na stałe zaprogramowane próby użycia Kimi K2 firmy Moonshot AI i Gemini 2.5 Flash firmy Google.
Jak wyjaśniło Cisco Talos, VOLTA specjalnie szuka odpowiedzi odmownych, zanim podejmie próbę użycia innego modelu AI.
Przekazuje zebrane dane modelom AI i prosi je o ich analizę, zapewniając kompleksową ocenę wartości finansowej ofiary.
Może również pomóc w identyfikacji cennych zasobów, a następnie uszeregować je na podstawie tego, jak lukratywne mogą być. Może również ocenić bezpieczeństwo cybernetyczne ofiary.
Zasadniczo pozwala hakerom wykorzystywać modele AI do znajdowania potencjalnie lukratywnych celów bez konieczności ręcznego przeglądania skradzionych danych.
