Cisco Talos описала Volta-Autodoxer — версию инфостилера Volta, которая после сбора данных отправляет их в языковые модели и получает структурированное досье на заражённого. Результаты исследования опубликованы 31 октября.
Базовые функции у Volta прежние: пароли из браузера, OAuth-токены Microsoft, cookies, платёжные карты и seed-фразы криптокошельков. Дополнительно программа ищет активные сессии Discord, Telegram, Steam и Roblox.
Затем идёт второй проход по уже собранным данным. Через Gmail и другие центральные аккаунты стилер достраивает картину: место жительства, привычки и траты по чекам и истории заказов в UberEats и DoorDash.
Собранное уходит на OpenRouter — сервис, который пересылает запросы разным провайдерам ИИ. По умолчанию Volta обращается к Claude Opus 4.6, при отказе модели переключается на открытую Kimi K2 от Moonshot AI, затем на Gemini 2.5 Flash. Каскад нужен, чтобы обойти защитные фильтры чат-ботов.
Внутри — промпт на 240 слов с маркированным списком. Модели предлагают роль аналитика, который готовит отчёт по «связному набору доказательств»: чем человек занимается, сколько он «стоит», как у него с цифровой гигиеной. Отдельно — поиск связей между полями, например совпадение пароля от Wi-Fi с фамилией.
Talos нашла образец с помощью нового фреймворка CAIRN, который выявляет хакерские инструменты с ИИ-компонентом. Применялась ли эта версия в реальных атаках, исследователи не отслеживали. Без ИИ стилер тоже работает: анализ лишь ускоряет отбор целей.
Распространяют такие программы в поддельных сборках популярного софта. По словам исследователя Cisco Райана Феттермана, в коде есть признаки, что инструмент готовили для продажи разным атакующим, а не под одну кампанию.
Что проверить: список активных сессий в Google, Telegram, Discord и Steam и завершить незнакомые; сменить пароли на уникальные для каждого сервиса; включить двухфакторную аутентификацию; отвязать сохранённые карты там, где они не нужны.
Если на компьютере лежали seed-фразы криптокошельков, их нужно перенести в новый кошелёк: старую фразу считают скомпрометированной. Украденные токены живут недолго, но пароли и cookies дают доступ к почте, соцсетям и банковским кабинетам без взлома.
