برنامج VOLTA Stealer يستخدم نماذج اللغة لتقييم قيمة ضحاياه

كشف باحثون عن برنامج خبيث لسرقة البيانات باسم VOLTA (VOLTA-AUTODOXER) يعتمد على نموذج لغوي كبير لتحديد القيمة المالية لكل ضحية. وجرى رصد البرنامج ضمن بحث CAIRN، وهو يستهدف نظام ويندوز ويحذف نفسه بعد إتمام مهمته.

ملف تعريفي بدل السجل الخام

يجمع VOLTA المجموعة المعتادة من البيانات: كلمات المرور المخزنة في المتصفحات وملفات الكوكيز وبطاقات الدفع وعبارات الاسترداد لمحافظ العملات المشفرة وجلسات Discord وTelegram وSteam وRoblox، إضافة إلى رموز Microsoft OAuth ومفاتيح SSH والخدمات السحابية وملفات شبكات Wi-Fi ولقطات الشاشة. ثم يبني حزمة منظمة عن صاحب الجهاز تشمل الموقع الجغرافي وعنوان السكن ومكان العمل وسنة الميلاد المرجحة وآخر أربعة أرقام من البطاقة ومساحات عمل Slack والقيمة التقديرية لحساب Roblox.

ويثري البرنامج هذه المعلومات باستخدام الجلسات المسروقة، فيبحث في Gmail عن إيصالات تؤكد العنوان، ويستخرج سجل الطلبات من UberEats وDoorDash، ويجمع بيانات إضافية عبر حساب Discord.

تُرسل الحزمة بطلب POST إلى منصة OpenRouter، وتوجه التعليمات النظامية النموذج للعمل كمحلل يقيّم الهدف. ويتضمن التقرير قسم «WHAT THEY'RE WORTH» الذي يصنف الأصول بحسب إمكانية تحقيق الربح (منخفضة أو متوسطة أو عالية)، وقسم «THEIR OPSEC» الذي يقيّم مستوى حماية الضحية وجودة كلمات مرورها. وتشير قيمة temperature الثابتة عند 0.2 إلى رهان المهاجم على الدقة والثبات.

سلسلة نماذج احتياطية

إذا رفض النموذج إجراء التقييم، ينتقل VOLTA إلى سلسلة من ثلاثة نماذج أخرى. ويرى الباحثون أن ذلك يدل على هندسة مقصودة تأخذ في الحسبان آليات الحماية المدمجة (guardrails). وتجري كل عمليات التواصل مع الذكاء الاصطناعي على جهاز الضحية وعبر اتصاله بالشبكة، قبل إرسال البيانات إلى الخارج. وتُحفظ النتائج في الملفين Identity_Report.txt وAI_Analysis.txt ضمن الأرشيف volta_dox.zip الذي يصل إلى المهاجمين.

ولا يعتمد البرنامج على بنية تحتية يملكها المهاجمون، ويضم أداة مدمجة لكسر خزائن المحافظ تُسجَّل نتائجها في قسم «WALLET VAULTS CRACKED». وتُحدَّد الإعدادات، ومنها قناة Telegram ومفاتيح API، عبر قالب من ستة حقول تُملأ عند البناء، ما يشير إلى نموذج «المُنشئ» الذي يبيع فيه المطور الوصول ويولّد ملفاً فريداً لكل طلب. والحقول مشفرة، لكن المفتاح هو تجزئة SHA-256 لثابتين داخل الملف نفسه، فالحماية شكلية.