VOLTA-AUTODOXER может оценивать жертв с помощью языковых моделей
VOLTA-AUTODOXER, самовосстанавливающийся стиллер для Windows, может отправить собранный пакет данных в OpenRouter для оценки цели с помощью большой языковой модели (LLM). Запрос к модели предусматривает краткий анализ с цитатами, ранжирование активов по стоимости для монетизации и оценку операционной безопасности жертвы и качества её парольной гигиены.
Вредоносное ПО собирает пароли браузеров, файлы cookie, данные платёжных карт, фразы восстановления криптокошельков, а также сессии и токены Discord, Telegram, Steam, Roblox, Microsoft и Slack. Оно нацеливается на профили Outlook и Thunderbird, файлы конфигурации SSH и облачных провайдеров, профили Wi-Fi и скриншоты. VOLTA может локально подбирать ключи хранилищ криптокошельков и фиксировать успешные результаты.
Для обогащения данных о жертве VOLTA использует украденные аутентифицированные сессии. В Gmail вредоносное ПО ищет чеки о покупках у розничных продавцов и платёжных сервисов, чтобы определить или подтвердить домашний адрес. Оно также извлекает историю заказов в Uber Eats и DoorDash, дополняет сведения об аккаунтах Discord и проверяет стоимость инвентаря Roblox запросом к Rolimons. В пакет данных могут войти местоположение, место работы, предполагаемый год рождения, метаданные аккаунтов и документов, а также индикаторы устройств или сервисов, которыми пользуется жертва.
VOLTA использует низкое значение параметра temperature и проверяет ответы модели на формулировки, указывающие на отказ. По сообщениям, при отказе модель может быть заменена одной из систем в резервной цепочке, куда входят Claude, Kimi и Gemini. Этап с LLM можно пропустить, если ключ недоступен.
Для параметров и учётных данных VOLTA использует слоты конфигурации, заданные во время сборки. Наблюдаемые конечные точки контролируют третьи стороны, они не принадлежат злоумышленникам.
В качестве потенциального способа обхода шифрования Chrome, привязанного к приложению (App-Bound Encryption), описан запуск браузера с флагом --headless. Ограничение или мониторинг таких запусков со стороны несанкционированных процессов может помочь обнаружить или пресечь это поведение.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
