VOLTA Stealer używa LLM do oceny wartości ofiar

Badacze zidentyfikowali nowy program do kradzieży danych o nazwie VOLTA (VOLTA-AUTODOXER), który wykorzystuje duży model językowy do oceny, ile warta jest każda ofiara. Narzędzie opisano w ramach badania CAIRN. To stealer dla systemu Windows, który po zebraniu danych usuwa się z urządzenia.

Dossier zamiast surowego logu

VOLTA zbiera standardowy zestaw danych: hasła z przeglądarek, pliki cookie, dane kart płatniczych, frazy seed portfeli kryptowalutowych, sesje Discorda, Telegrama, Steama i Roblox, tokeny Microsoft OAuth, klucze SSH i usług chmurowych, profile Wi-Fi oraz zrzuty ekranu. Następnie buduje ustrukturyzowany pakiet: lokalizację i adres domowy, miejsce pracy, przypuszczalny rok urodzenia, cztery ostatnie cyfry karty, przestrzenie robocze w Slacku czy szacunkową wartość konta Roblox.

Program wzbogaca te informacje, używając skradzionych sesji. Przeszukuje Gmaila w poszukiwaniu rachunków potwierdzających adres, pobiera historię zamówień z Uber Eats i DoorDash oraz zbiera dodatkowe dane przez konto Discord.

Pakiet trafia przez POST do platformy OpenRouter. Prompt systemowy każe modelowi działać jak analityk oceniający cel. Raport zawiera sekcję „WHAT THEY'RE WORTH”, klasyfikującą aktywa jako mało, średnio lub bardzo opłacalne, oraz „THEIR OPSEC” z oceną zabezpieczeń ofiary i jakości haseł. Temperatura ustawiona na 0,2 ma zapewnić precyzję i powtarzalność.

Łańcuch modeli na wypadek odmowy

Gdy model odmawia analizy, VOLTA przechodzi przez łańcuch trzech kolejnych. Według badaczy świadczy to o celowym uwzględnieniu zabezpieczeń (guardrails) w modelach. Całą komunikację z AI program prowadzi na urządzeniu ofiary, przez jej łącze, jeszcze przed wysłaniem danych na zewnątrz. Wyniki trafiają do plików Identity_Report.txt i AI_Analysis.txt, spakowanych w volta_dox.zip.

Stealer nie korzysta z infrastruktury należącej do atakujących. Ma też wbudowane narzędzie do łamania zabezpieczeń portfeli, a wyniki zapisuje w sekcji „WALLET VAULTS CRACKED”. Hasła Wi-Fi odczytuje funkcją WlanGetProfileList i zapisuje jawnym tekstem.

Konfiguracja, czyli kanał Telegrama i klucze API, opiera się na szablonie z sześcioma polami uzupełnianymi podczas kompilacji. Wskazuje to na model „buildera”, w którym autor sprzedaje dostęp i generuje osobny plik dla każdego zamówienia. Dane są szyfrowane kluczem będącym skrótem SHA-256 z dwóch stałych zapisanych w samym pliku, więc ochrona ma charakter czysto formalny.