بدافزار VOLTA از AI استفاده می‌کنه تا ارزش مالی اطلاعات قربانی‌ها رو رتبه‌بندی کنه

نحوه کار VOLTA

محقق Cisco Talos به نام Ryan Fetterman، تحلیل VOLTA-AUTODOXER رو در ۳۱ اکتبر ۲۰۲۶ منتشر کرد — بعد از اینکه این بدافزار از طریق برنامه‌ی تحقیقات تهدید CAIRN کشف شده بود. این بدافزار که اول بار در ۱۱ اکتبر مشاهده شد، سرقت سنتی اطلاعات احراز هویت رو با یه مرحله‌ی امتیازدهی به قربانی‌ها با کمک AI ترکیب می‌کنه — همین چیزیه که اون رو از بدافزارهای معمولی سرقت اطلاعات متمایز می‌کنه.

بعد از نفوذ به یه سیستم Windows، VOLTA یه طیف گسترده از داده‌ها رو جمع‌آوری می‌کنه: رمزهای مرورگر، کوکی‌ها و کارت‌های پرداخت ذخیره‌شده از Chromium و Firefox؛ اطلاعات ورود ایمیل از Thunderbird و Outlook؛ جلسات workspace در Slack؛ داده‌های چت از Discord و Telegram؛ حساب‌های بازی در Steam، Battle.net و Roblox؛ عبارت‌های seed کیف پول‌های ارز دیجیتال؛ توکن‌های OAuth شرکت Microsoft؛ کلیدهای SSH و کلیدهای ارائه‌دهندگان سرویس ابری؛ پروفایل‌های Wi-Fi؛ و اسکرین‌شات‌ها.

مدل‌های AI به عنوان لایه‌ی مرتب‌سازی

بعد از اینکه داده‌ها از سیستم قربانی خارج شدن، VOLTA اون‌ها رو از طریق OpenRouter — یه دروازه‌ی تجاری API برای مدل‌های زبانی بزرگ — عبور می‌ده و به مدل‌های AI از جمله Claude شرکت Anthropic، Gemini شرکت Google و Kimi شرکت Moonshot AI می‌فرسته. این مدل‌ها یه پرونده از قربانی برمی‌گردونن که توش داده‌های دزدیده‌شده بر اساس ارزش مالی رتبه‌بندی شدن، همراه با یه ارزیابی از وضعیت امنیتی هدف.

اگه یه مدل درخواست رو رد کنه، VOLTA به‌طور خودکار تا دو جایگزین دیگه رو امتحان می‌کنه و بعد بدون مرحله‌ی AI ادامه می‌ده. لایه‌ی AI اختیاریه: اپراتورهایی که API key ندارن، باز هم داده‌های خام دزدیده‌شده رو دریافت می‌کنن.

هیچ زیرساخت مهاجمی برای هدف گرفتن وجود نداره

بعد از اجرا، VOLTA خودش رو پاک می‌کنه و فقط از طریق سرویس‌های شخص ثالث ارتباط برقرار می‌کنه — یعنی API‌های AI و OpenRouter — نه از طریق سرورهای تحت کنترل مهاجم. این طراحی باعث می‌شه مسدود کردن در سطح شبکه و از کار انداختن زیرساخت‌ها سخت بشه.

چیکار کنیم

تیم Talos تا زمان انتشار این مقاله، هیچ کمپین گسترده‌ای از VOLTA ثبت نکرده. با این حال، این بدافزار نشانه‌ی یه روند گسترده‌تره: AI داره در زنجیره‌ی ابزارهای جنایی جاسازی می‌شه — نه برای تولید حمله، بلکه برای به حداکثر رساندن بازده از داده‌های دزدیده‌شده.

تیم Talos توصیه می‌کنه که محدود کنین کدام پروسه‌ها می‌تونن Chromium رو با پرچم headless اجرا کنن، برای راه‌اندازی غیرمنتظره‌ی مرورگر headless هشدار تنظیم کنین، و تا حد امکان اطلاعات ورود حساس رو در ذخیره‌سازی‌های مبتنی بر سخت‌افزار نگه دارین.