Malware-ul Volta îți scotocește chitanțele din Gmail și întreabă un AI cât valorezi

O nouă mostră de malware pentru Windows, documentată recent, îi pasează prada unui chatbot AI și îi cere să redacteze o evaluare a persoanei pe care tocmai a jefuit-o. Numit Volta-Autodoxer, programul fură parole salvate, cookie-uri, carduri de plată și portofele cripto, apoi trimite un dosar unui model lingvistic de mari dimensiuni, cerându-i să evalueze „cât valorează” victima. Pentru oricine își desfășoară viața în browser, asta transformă o grămadă de date de autentificare furate într-o listă cu persoanele care merită jefuite primele.

Cercetarea aparține Cisco Talos, care a semnalat malware-ul cu ajutorul unui nou cadru de analiză, conceput pentru a detecta instrumente de hacking care apelează la modele AI; Wired a relatat prima dată despre acest caz. Furtul în sine nu e o noutate. Ceea ce urmează, însă, este. Folosind sesiunile furate chiar de la victimă, Volta îi caută în Gmail chitanțele de la Amazon, DoorDash, Uber Eats, Grubhub, Walmart și PayPal, pentru a-i confirma adresa de domiciliu, îi extrage istoricul comenzilor de mâncare cu livrare, îi completează profilul de Discord și chiar evaluează inventarul de pe Roblox printr-o interogare în timp real.

Toate aceste informații sunt reunite într-un dosar structurat, trimis prin OpenRouter, un serviciu care transmite solicitări către numeroși furnizori de AI. Modelul implicit este Claude Opus 4.6 de la Anthropic. Solicitarea, lungă de aproximativ 240 de cuvinte, îi atribuie modelului rolul de „analist de informații criminalistice care redactează o evaluare a unei ținte” și îi cere o secțiune despre valoarea victimei, în care bunurile de valoare să fie ordonate după cât de ușor pot fi transformate în bani, precum și o evaluare a obiceiurilor sale de securitate. Modelului i se cere să „facă legături între informații”, de exemplu observând că parola Wi-Fi corespunde unui nume de familie, și să „analizeze în profunzime, nu pe orizontală”.

Autorii se așteptau ca unele chatboturi să refuze. Volta verifică fiecare răspuns după formulări precum „nu pot” sau „nu sunt în măsură” și, dacă primește un refuz, încearcă din nou cu modelul open-weight Kimi K2 de la Moonshot AI, apoi cu Gemini 2.5 Flash de la Google. „Solicitarea e formulată destul de atent, astfel încât să nu sugereze nimic vădit rău intenționat”, i-a declarat pentru Wired Ryan Fetterman, cercetătorul de la Talos care a realizat analiza. „Dar autorii se așteaptă ca modelul să refuze inițial și au prevăzut posibilitatea asta.”

Avantajul pentru infractori este viteza. Tokenurile de sesiune expiră, iar oamenii își schimbă parolele, așa că primul care află care victimă are un portofel cripto plin sau o cheie de acces la cloud-ul unei companii poate să o folosească. „Vedem capabilități tot mai avansate ajungând la atacatori cu un nivel mai redus de sofisticare”, a spus Fetterman. Talos a mai descoperit că Volta este construit ca un produs: fiecare copie are șase câmpuri în care cumpărătorul își introduce propriul canal Telegram și propriile chei API, completate la compilarea fișierului. Asta indică un autor care vinde instrumentul altor infractori, care primesc apoi rapoarte cu țintele ordonate direct în inboxul de Telegram.

Există însă și limite ale acestui pericol. Talos spune că nu a urmărit dacă Volta a fost folosit împotriva unor victime reale, iar etapa AI este opțională: fără o cheie API, malware-ul fură în continuare totul, dar sare pur și simplu peste dosar. În esență, este un program convențional de furt de date pentru Windows, așa că măsurile obișnuite de protecție rămân eficiente. Aproape toate magazinele verificate pentru chitanțe sunt americane, ceea ce sugerează la cine s-au gândit creatorii săi, deși parolele și portofelele furate valorează la fel oriunde.

Pentru cei afectați, recomandările Talos sunt fără echivoc. Revocați sesiunile active și tokenurile, schimbați parolele și considerați pierdut orice portofel cripto a cărui frază de recuperare era păstrată într-un fișier necriptat pe computer; mutați fondurile într-un portofel nou, creat pe un dispozitiv care nu a fost niciodată conectat la internet. Programele de furt de date se ascund adesea în software piratat sau contrafăcut, așa că cea mai ieftină măsură de protecție este, în continuare, să nu-l instalați.

Talos și-a publicat analiza pe 31 octombrie, la două zile după ce a descris NIK C2, un alt set de instrumente infracționale cu AI integrat. Cercetători de la CrowdStrike au declarat recent pentru Wired că au identificat patru grupări de hackeri care foloseau instrumente AI împotriva a zeci de ținte din întreaga lume, operând în chineză, spaniolă, engleză, indoneziană și rusă.

Talos spune că întrebarea încă deschisă pentru cei care se apără este ce altă etapă a unei operațiuni infracționale va fi încredințată unui model. În cazul Volta, a fost etapa în care, până acum, un om se oprea să decidă pe cine să jefuiască.

Etichete: știri, securitate cibernetică, Claude, Gemini, OpenRouter, Cisco Talos