Skadelig programvare bruker språkmodeller til å rangere ofre etter verdi

a yellow ethernet cable on a blue background — Markus Spiske / Unsplash

Forskere har avdekket et skadelig verktøy kalt VOLTA som stjeler data og bruker kunstig intelligens til å vurdere den potensielle økonomiske verdien av ofrenes eiendeler. Dette verktøyet samler inn påloggingsdetaljer, øktsymboler og informasjon om kryptovalutalommebøker før det sender en strukturert datapakke til en stor språkmodell for analyse. Hvis den første modellen nekter å utføre vurderingen, bytter den skadelige programvaren automatisk til en kjede av tre andre modeller, noe som indikerer en målrettet teknisk tilpasning for å omgå innebygde sikkerhetsmekanismer.

Den skadelige programvaren, som også er identifisert som VOLTA-AUTODOXER i løpet av CAIRN-forskningen, fungerer som en selvoppsettende stjeler for Windows-systemer. Den unike integrasjonen med kunstig intelligens tjener ikke bare som et tillegg til tradisjonelle funksjoner, men opptrer som en analytiker som arbeider direkte for angrepsoperatøren. Verktøyet er designet for å fjerne seg selv etter utført oppdrag og benytter ikke infrastruktur som eies av angriperne, noe som gjør sporing vanskeligere.

Programvaren samler inn et omfattende sett med data, inkludert passord fra nettlesere, informasjonskapsler, betalingskort, frøsetninger for kryptovalutalommebøker, øktsdata fra Discord, Telegram, Steam og Roblox, Microsoft OAuth-symboler, SSH-nøkler og skytjenester. I tillegg hentes Wi-Fi-profiler og skjermbilder. Den strukturerte pakken inneholder geolokasjon, hjemmeadresse, arbeidssted med firmadomene, estimert fødselsår, de fire siste sifrene i kortnummeret, Slack-arbeidsområder, metadata om dokumentforfatterskap, tegn på iPhone-sikkerhetskopier og en estimert verdi for Roblox-kontoen. Ved hjelp av stjålne øktsymboler beriker programmet ytterligere pakken ved å søke etter kjøpskvitteringer i Gmail for å bekrefte adresser, hente bestillingshistorikk fra UberEats og DoorDash, samt samle flere detaljer via Discord-kontoer.

Den innsamlede datapakken serialiseres og sendes via en POST-forespørsel til OpenRouter-plattformen. En systemprompt instruerer modellen om å opptre som en analytiker som samler og vurderer måldata. Det forventede resultatet inkluderer en seksjon kalt Verdi, hvor eiendeler klassifiseres etter nivå for potensiell monetering som lav, middels eller høy, samt en seksjon for Sikkerhet som vurderer ofrets beskyttelse og passordkvalitet. Modellen omdanner rå logger med påloggingsdetaljer til et strukturert dossier der informasjonen er prioritert og støttet av lenker til kildedata.

Innstillingen for temperatur i modellen er satt til et lavt fast verdi på 0,2, noe som indikerer at angriperen prioriterer nøyaktighet og konsistens fremfor tilfeldighet. Den skadelige programvaren bruker også en kaskade av modeller for å håndtere feil, noe som viser at operatøren forventer at noen modeller vil nekte å samarbeide og har planlagt overgang til mindre strenge alternativer. Systemprompten understreker målet om å lage en kort analytisk rapport om hvor egnet et offer er, støttet av verifiserbare lenker til originaldata. Modellen er spesielt tasked med å finne sammenhenger mellom spredte datafragmenter, for eksempel mønstre som knytter personlige opplysninger til brukte passord.

VOLTA angriper nettlesere basert på Chromium, Firefox og Thunderbird, samt Outlook-profiler, Slack-arbeidsområder, Steam- og Battle.net-økter, Discord-symboler, Telegram-økter, Roblox-kontoer og konfigurasjonsfiler for SSH og skytjenester som gcloud, OpenVPN og Hide.me. Programmet kopierer ikke bare kryptovalutalommebøker, men bruker et innebygd verktøy for å knekke lommeboklagring og registrerer resultatet i en rapport under overskriften Knekke lommeboklagring.