Аналітики з дослідницької організації Cisco Talos виявили нову загрозу — самовидалюваний вірус-інфостілер для Windows під назвою VOLTA-AUTODOXER. Головна особливість шкідливого ПЗ полягає у використанні штучного інтелекту для аналізу викрадених даних: воно передає зібрану інформацію ШІ-моделі, яка оцінює фінансову та аналітичну цінність жертви.
Аналітики з дослідницької організації Cisco Talos виявили нову загрозу — самовидалюваний вірус-інфостілер для Windows під назвою VOLTA-AUTODOXER. Головна особливість шкідливого ПЗ полягає у використанні штучного інтелекту для аналізу викрадених даних: воно передає зібрану інформацію ШІ-моделі, яка оцінює фінансову та аналітичну цінність жертви.
Вірус викрадає паролі з браузерів, кукі, збережені банківські картки, профілі Outlook та Thunderbird, токени Microsoft OAuth і Discord, листування та файли конфігурацій хмарних сервісів і SSH. Окрім цього, він у відкритому тексті витягує всі паролі від Wi-Fi та зламує наявні криптовалютні гаманці. Завдяки викраденим сесіям вірус шукає в Gmail чеки від Amazon, Uber Eats, DoorDash, PayPal чи Walmart, збираючи домашні адреси, місце роботи, дату народження та аналітику активності, повідомляє Tom’s Hardware.
Зібравши «досьє», вірус надсилає його через шлюз OpenRouter до мовної моделі (за замовчуванням це Anthropic Claude Opus 4.6). Промпт вимагає від ШІ виступати в ролі «аналітика судово-медичної розвідки». Модель повинна проаналізувати статки жертви, сформувати ранжований за цінністю список її активів, які можна швидко монетизувати, а також оцінити рівень її кібергігієни.
Якщо обрана модель відмовляється обробляти дані через етичні обмеження, VOLTA автоматично перемикається на інші моделі — по черзі на Kimi K2 (Moonshot AI) та Gemini 2.5 Flash (Google). Якщо ж API-ключі відсутні або всі моделі відхилили запит, програма відправляє викрадену інформацію хакерам через Telegram без ШІ-аналізу.
Після завершення роботи виконуваний файл вірусу видаляється з комп’ютера. Вся комунікація відбувається через сторонні сервіси та мережеве з'єднання самої жертви, тому зловмисникам навіть не потрібно утримувати власні сервери.
Експерти зазначають, що вірус обходить захист Chrome (App-Bound Encryption), запускаючи браузер у фоновому режимі. Впровадження політик контролю додатків, які забороняють стороннім процесам запуск Chrome у фоновому режимі, зупиняє розшифровку сесій у браузері.
У разі підозри на інфікування фахівці рекомендують негайно:
скинути та змінити всі паролі й API-ключі;
завершити всі активні сесії та відкликати токени доступу;
переказати криптовалютні кошти на нові гаманці із фразами відновлення, згенерованими на ізольованих пристроях.
