Вирус с ИИ выставляет жертвам ценник

Новая вредоносная программа для Windows не просто крадёт данные — она использует искусственный интеллект, чтобы оценить, насколько ценна её жертва для преступников. Обнаруженный исследователями Cisco Talos вирус VOLTA-AUTODOXER сначала собирает сведения о человеке, затем передаёт их ИИ для анализа и, судя по всему, помогает злоумышленникам выбирать цели для вымогательства.

Исследователи выявили программу с помощью CAIRN — открытого набора инструментов для обнаружения и отслеживания вредоносного ПО, использующего ИИ. Cisco Talos не уточнила, где именно нашли VOLTA-AUTODOXER, сколько устройств он заразил и каким способом распространяется. На первый взгляд это обычный похититель информации, но затем он составляет подробное досье на владельца компьютера.

Сначала программа собирает пароли и cookies браузеров, данные банковских карт, фразы восстановления криптокошельков, сессии Discord, Telegram, Steam и Roblox, токены Microsoft OAuth, ключи SSH и облачных сервисов, сведения о Wi-Fi-сетях и снимки экрана. OAuth-токен — это цифровой ключ, позволяющий войти в сервис или получить доступ к нему без повторного ввода пароля.

Затем вредоносное ПО дополняет досье географическим местоположением, домашним адресом, местом работы и доменом работодателя, предполагаемым годом рождения и последними четырьмя цифрами банковских карт. Оно также собирает сведения о рабочих пространствах Slack, метаданные авторства документов, признаки наличия резервных копий iPhone и даже оценку стоимости аккаунта Roblox. Чтобы подтвердить домашний адрес, программа ищет в Gmail письма от UberEats и DoorDash.

Собранные данные упаковываются и отправляются через OpenRouter — платформу, которая позволяет обращаться к множеству больших языковых моделей через один программный интерфейс. ИИ получает инструкцию действовать как «аналитик криминалистической разведки» и подготовить оценку цели. Иными словами, он должен определить, насколько выгодно атаковать конкретного человека и стоит ли тратить на него время.

По умолчанию используется Claude. Если модель откажется выполнять запрос или окажется недоступна, программа переключится на Kimi K2 от Moonshot AI, а затем на Gemini 2.5 Flash от Google. Если не сработает ни одна из моделей, злоумышленникам отправят исходные данные — обычно через Telegram-канал.

После завершения работы VOLTA-AUTODOXER пытается удалить себя с заражённого устройства, вероятно, чтобы скрыть следы. Однако файл volta_debug.txt может остаться: в нём указано, какие сведения были собраны и успешно ли прошла оценка с помощью ИИ.

Cisco Talos считает, что вредоносное ПО могут продавать на чёрном рынке. Telegram-канал и ключи API не зашиты в программу заранее: при сборке в шаблон подставляют значения заказчика. Вредоносное ПО содержит шесть изменяемых параметров, которые заполняются при создании конкретной версии. По оценке исследователей, автор может продавать конструктор, а покупатель — задавать настройки и получать отдельный исполняемый файл. Такая схема позволяет даже не слишком опытному преступнику отправлять в Telegram ранжированные ИИ-оценки потенциальных жертв.

Если есть подозрение, что устройство заражено, нужно отозвать или заменить ключи API и токены, сменить пароли, проверить криптокошельки и перевести средства на новый кошелёк с новой секретной фразой восстановления.