Wolne oprogramowanie VOLTA wykorzystuje modele językowe do oceny wartości ofiar

a bunch of wires and wires in a room — Ivan N / Unsplash

Badacze zidentyfikowali złośliwe oprogramowanie VOLTA, które integruje duże modele językowe w celu analizy skradzionych danych i klasyfikacji ofiar według potencjalnej wartości finansowej. Narzędzie to działa jako samousuwający się kradzież danych na systemie Windows, a jego nowa funkcja pozwala na automatyczne profilowanie użytkowników przed przekazaniem informacji operatorom ataku.

Program zbiera szeroki zakres danych, w tym hasła z przeglądarek, pliki cookie, dane kart płatniczych, frazy seed portfeli kryptowalutowych oraz tokeny sesyjne z serwisów takich jak Discord, Telegram, Steam i Roblox. Zbiera również klucze SSH, dane logowania do usług chmurowych, profile Wi-Fi oraz zrzuty ekranu. Po zebraniu tych informacji VOLTA tworzy uporządkowany pakiet danych zawierający lokalizację geograficzną, adres domowy, miejsce pracy, domniemany rok urodzenia oraz ostatnie cztery cyfry numeru karty.

Aby wzbogacić ten pakiet, złośliwe oprogramowanie wykorzystuje skradzione tokeny sesyjne do przeszukiwania skrzynek pocztowych w poszukiwaniu rachunków potwierdzających adres, pobierania historii zamówień z usług dostawczych oraz zbierania dodatkowych informacji z kont Discord. Utworzony w ten sposób zestaw danych jest serializowany i wysyłany za pomocą żądania POST do platformy OpenRouter. W komunikacie znajduje się systemowy prompt, który nakazuje modelowi działać jako analityk zbierający i oceniający dane o celu.

Model językowy ma wygenerować raport zawierający sekcję dotyczącą wartości ofiary, w której aktywa są klasyfikowane według potencjału monetyzacji, oraz sekcję dotyczącą bezpieczeństwa, oceniającą jakość używanych haseł i poziom ochrony. Parametr temperatury jest ustawiony na niską wartość 0,2, co wskazuje na dążenie do precyzji i spójności wyników. W przypadku, gdy model odmówi wykonania zadania ze względu na wbudowane mechanizmy ochronne, oprogramowanie przełącza się na jeden z trzech innych modeli w łańcuchu, co sugeruje świadome projektowanie z uwzględnieniem ograniczeń sztucznej inteligencji.

VOLTA atakuje również przeglądarki Firefox i Thunderbird, profile Outlook oraz przestrzenie robocze Slack. Program wykorzystuje wbudowane narzędzie do łamania zabezpieczeń portfeli kryptowalutowych, a wyniki tych działań są zapisywane w sekcji raportu dotyczącej złamanych skarbca portfeli. Cały proces ma na celu przekształcenie surowych logów logowania w uporządkowane dossier, w którym informacje są sortowane według priorytetu i poparte odniesieniami do źródeł danych.