Исследователи Cisco Talos обнаружили необычный Windows-инфостилер VOLTA-AUTODOXER, который не ограничивается кражей паролей и файлов. Вредонос собирает цифровое досье на владельца компьютера, передает его ИИ и получает оценку того, насколько выгодной может оказаться жертва для дальнейших атак.
VOLTA похищает браузерные пароли, cookies, платежные данные, почтовые профили, токены Microsoft и Discord, учетные записи Roblox, SSH-конфигурации и сведения о криптокошельках. Дополнительно вредонос анализирует Gmail, ищет чеки Amazon, PayPal и сервисов доставки еды, извлекает историю заказов DoorDash и Uber Eats, уточняет домашний адрес и собирает сведения о работодателе, геолокации и платежных картах. Полученные данные объединяются в файл Identity_Report.txt, после чего превращаются в структурированное досье.
Затем VOLTA отправляет собранную информацию через OpenRouter в Claude Opus 4.6, который должен выступить в роли «аналитика разведывательной информации» и определить потенциальную ценность человека для злоумышленников. Если модель отказывается отвечать или выдает слишком мало информации, вредонос переключается на Kimi K2 и Gemini 2.5 Flash. При отсутствии API-ключа ИИ-этап можно вообще пропустить: данные все равно отправляются через Telegram.
Результат анализа сохраняется вместе с исходным досье в архив volta_dox.zip. Сам инфостилер способен удалить собственный исполняемый файл после завершения работы, поэтому исследователи советуют сохранять volta_debug.txt, содержащий журнал сбора информации и обращения к модели.
Cisco Talos отдельно отмечает, что VOLTA использует Chrome в headless-режиме для обхода App-Bound Encryption. Ограничение запуска Chrome без интерфейса политиками контроля приложений способно блокировать этот конкретный механизм, но не предотвращает остальные этапы заражения. Пострадавшим рекомендуют сменить пароли, отозвать токены и API-ключи, а криптовалюту из кошельков с раскрытой seed-фразой перевести на новые адреса.
Источник: www.goha.ru