Шкідлива програма VOLTA-AUTODOXER краде дані та просить Claude оцінити жертву
Новий вірус для Windows використовує ШІ-модель Claude від Anthropic, щоб ранжувати викрадені дані за цінністю та визначати найперспективніших жертв.
Дослідники Cisco Talos виявили нову шкідливу програму для Windows під назвою VOLTA-AUTODOXER, яка не просто краде дані, а й аналізує їх за допомогою штучного інтелекту. Вірус збирає всю доступну інформацію з комп'ютера жертви, формує «досьє» та надсилає його моделі Claude від компанії Anthropic із проханням оцінити потенційну вигоду від атаки.
VOLTA витягує збережені в браузерах паролі, файли cookie та платіжні картки, поштові профілі Thunderbird і Outlook, облікові записи Roblox, токени Microsoft OAuth, скріншоти, а також конфігураційні файли SSH і хмарних сервісів. Усі збережені паролі Wi-Fi програма отримує у відкритому вигляді. Якщо на комп'ютері є криптовалютні гаманці, вірус не просто копіює їх, а намагається зламати сховища безпосередньо на місці.
Окремий етап роботи програми, збагачення даних через активні сесії жертви. VOLTA шукає в Gmail квитанції від Amazon, DoorDash, Uber Eats, Grubhub, Walmart і PayPal, щоб підтвердити домашню адресу, витягує історію замовлень, використовує токен Discord для заповнення профілю та оцінює вартість предметів Roblox через сервіс Rolimons. Усю цю інформацію програма пакує у файл Identity_Report.txt, перетворює на JSON і надсилає через OpenRouter до Claude із системним запитом діяти як «аналітик судової розвідки» та бути «прямим, конкретним і точним».
За замовчуванням VOLTA використовує модель Claude Opus 4.6 із низьким значенням температури 0.2, що свідчить про прагнення оператора до передбачуваності результату. Якщо модель відмовляється відповідати, програма автоматично перемикається на Moonshot AI Kimi K2, а потім на Google Gemini 2.5 Flash. Коли користувач не надає API-ключ для OpenRouter, вірус все одно надсилає зібране досьє через Telegram, але без ШІ-аналізу. Після зараження основний виконуваний файл може самознищитися, залишаючи лише журнал volta_debug.txt з інформацією про зібране.
Як зазначають у Cisco Talos, VOLTA, ймовірно, створений для перепродажу: він має шаблон із шістьма змінними слотами для каналу Telegram, API-ключів і налаштувань, які заповнюють під час складання. Для захисту від цієї атаки дослідники радять обмежити запуск Chrome у безголовому режимі через політики контролю застосунків, що заблокує основний шлях розшифрування токенів. Також варто негайно змінити всі паролі, відкликати токени та перемістити кошти з гаманців, якщо їхні seed-фрази зберігалися у відкритому вигляді.
Джерела
- Tom's Hardware: New AI-driven Windows malware feeds stolen data to Claude to rank victims’ assets by value, then deletes itself — payload builds custom target assessment, can switch models if one refuses, or skip the AI step entirely
Фото: geralt, Pixabay (Pixabay Content License)