VOLTA праща крадени данни на Claude и се самоизтрива

Изследователят на Cisco Talos Райън Фетерман публикува на 31 октомври 2026 г. анализ на нов Windows инфостилър, който сам се нарича VOLTA-AUTODOXER. След като открадне каквото намери на машината, малуерът не праща суровия лог на оператора си, а първо го подава на голям езиков модел — по подразбиране Claude Opus 4.6 на Anthropic — с инструкция да подреди активите на жертвата по това колко пари могат да се извадят от тях. После програмата се самоизтрива. Анализът на Talos е излязъл от изследователската инициатива CAIRN, която следи малуер с вградени AI компоненти.

Снимка: Cisco Talos

Какво събира, преди да стигне до AI стъпката

Класическата част е изчерпателна. VOLTA вади пароли, бисквитки и запазени карти от браузърите на Chromium база, както и данни от Firefox и Thunderbird. Добавя сесии от Discord, Telegram, Steam и Roblox, OAuth токени на Microsoft, SSH ключове, идентификационни данни за облачни доставчици, Wi-Fi профили през WlanGetProfileList, скрийншоти и геолокация.

Крипто портфейлите не просто се копират — малуерът носи вграден компонент, който се опитва да разбие хранилищата им на място, за да стигне до seed фразите.

Най-любопитната част обаче е обогатяването. VOLTA рови в Gmail за касови бележки, изчита историята на поръчките в UberEats и DoorDash, оценява инвентара в Roblox и от тези дребни следи извлича домашен адрес, работодател, предполагаема година на раждане и последните четири цифри на картите. Всичко се сглобява локално във файл Identity_Report.txt.

Моделът в ролята на оценител

Оттук нататък отчетът се сериализира в JSON и се изпраща с POST към OpenRouter — популярен рутер, през който един API ключ дава достъп до десетки модели. Заявката е сглобена на ръка, без SDK, с обикновен Mozilla/5.0 User-Agent, за да не се набива на очи.

Системният промпт нарежда на модела да действа като „форензик разузнавателен анализатор, който пише target assessment“. Изискваният изход има два раздела: WHAT THEY’RE WORTH — ценните неща, подредени по възможност за монетизиране в нива low/medium/high — и THEIR OPSEC — оценка на хигиената на паролите и общата защита на жертвата. Температурата е свалена на 0,2, за да е резултатът възможно най-предвидим. Отговорът се записва като AI_Analysis.txt.

Снимка: Cisco Talos

Авторът явно е очаквал, че моделите ще отказват такава задача. VOLTA проверява отговора за фрази на отказ като „I can’t“ и за подозрително кратки реплики, след което слиза по верига от три модела:

anthropic/claude-opus-4.6   →  moonshotai/kimi-k2  →  google/gemini-2.5-flash

Ако няма валиден API ключ, AI стъпката просто се прескача и малуерът работи като обикновен стилър.

Три пакета към Telegram и нула фиксирани настройки

Изнасянето става на три етапа и дава три архива: volta_log.zip с изхода на стилъра, volta_dox.zip с AI оценката и volta_doxnet.zip с резултатите от обогатяването. Каналът е Telegram.

Единственото, което остава след самоизтриването, е timestamped лог в %APPDATA%\volta_debug.txt — Talos съветва точно него да не го изтривате, ако подозирате заразяване, защото записва и кои AI заявки са минали.

Бинарният файл не съдържа фиксирани настройки: компилира се от шаблон с шест сменяеми слота, криптирани чрез SHA-256 хеш на вградени константи. Това е почеркът на builder модел — авторът продава достъп, купувачът слага своя Telegram канал и свой API ключ, а за всяка поръчка се компилира отделен файл.

Образецът, който Talos анализира, е с SHA-256 57ef4242666d78c50df145b34023df564f0fad38812d6a580e66433d427e2279, PE печат от 17 август 2026 г. и е засечен първо на 11 октомври 2026 г.

Важната уговорка

Talos не съобщава за потвърдени кампании с VOLTA в реална среда и не разкрива как се разпространява. Докладът описва дизайн, не документирани атаки — а AI стъпката е опционална. Tom’s Hardware също подчертава, че става дума за възможности, не за жертви.

Новото тук не е скоростта или мащабът, а че моделът замества човешкия труд по анализа: операторът получава готов рейтинг вместо хиляди редове лог. Това е същата логика, която видяхме и при пробива в Chainalysis с агентни техники — AI поема досадната част от атаката.

Темата има и напълно земна страна. Според hicomm.bg Check Point Research проследява от два месеца кампания с фалшиви приложения на ChatGPT и Claude — несъществуващи версии като „GPT-6 Astra“ и „Claude Opus“, разпространявани през GitHub проекти и SEO отравяне. Архивът съдържа легитимен подписан Setup.exe и зловредна winmm.dll, която Windows зарежда от същата папка, след което на машината кацат scheduled task под името на Windows Media Player и копач XMRig. Нито OpenAI, нито Anthropic са били пробивани.

Паралелно Kaspersky описа пред The Hacker News загрузчика NetamLoader, насочен към държавни организации в Азия и специалното издание Windows 10 Government Edition. Любопитното е, че неговият C2 домейн е openaigpt4v[.]com — чиста маскировка, без каквато и да е AI функционалност.

Какво да направите

Talos препоръчва да ограничите стартирането на Chrome с флаг --headless през политика за контрол на приложенията и да алармирате при такива процеси извън средата на разработчиците, защото точно така стилърът вади бисквитките. Отзивайте токените и сесиите след инцидент, не само паролите, и ползвайте хардуерно обвързано съхранение на идентификационни данни. Най-простото правило остава: теглете AI клиенти само от официалния сайт на разработчика, а не от първия резултат в търсачката — един споделен линк вече стигаше за превземане на ChatGPT акаунт.

Заключение

VOLTA-AUTODOXER е по-интересен като индикатор, отколкото като заплаха: засега е образец без потвърдени кампании, но показва накъде върви пазарът на инфостилъри. Когато механизмът за отказ на модела е предвиден още в кода, с резервна верига от три доставчика, значи авторите вече смятат guardrails-а за технически проблем, който се заобикаля с конфигурация. Защитата от самата кражба остава непроменена — там AI не променя нищо.