Skadlig programvara använder stora språkmodeller för att rangordna offer efter finansiellt värde

Yellow and green cables are neatly connected — Albert Stoynov / Unsplash

En nyupptäckt skadlig programvara med namnet VOLTA har identifierats som ett verktyg för datastöld som integrerar artificiell intelligens för att analysera och prioritera sina offer. Denna malware, som också benämns VOLTA-AUTODOXER, samlar in omfattande mängder känslig information från infekterade Windows-enheter och använder sedan stora språkmodeller för att bedöma den potentiella ekonomiska vinsten som kan erhållas från varje enskild victims tillgångar. Forskare inom cybersäkerhet har rapporterat att verktyget fungerar som en analytiker som arbetar för angriparen, vilket markerar en betydande utveckling från traditionell datastöld till intelligent profilering.

När programvaran har installerats på en enhet inleder den en omfattande insamling av uppgifter från en bred uppsättning källor. Den extraherar lösenord, kakor och betalningskortsuppgifter från webbläsare baserade på Chromium samt från Firefox och Thunderbird. Utöver detta riktar sig verktyget mot specifika applikationer och tjänster för att stjäla sessionsdata från Discord, Telegram, Steam, Roblox och Battle.net. Programvaran hämtar även Microsoft OAuth-token, SSH-nycklar, konfigurationsfiler för molntjänster såsom gcloud och OpenVPN, samt Wi-Fi-profiler. Skärmdumpar tas också för att ge angriparen visuell kontext över användarens aktiviteter och miljö.

Efter den initiala datainsamlingen sammanställer VOLTA informationen till ett strukturerat paket som berikas ytterligare genom att använda de stulna sessions-token. Verktyget söker exempelvis i offrets Gmail-konton efter kvitton för att verifiera hemadresser, hämtar beställningshistorik från matleveranstjänster och samlar in kompletterande detaljer via Discord-konton. Det slutgiltiga dossier som skapas innehåller geolokalisering, hemadress, arbetsplats inklusive företagsdomän, uppskattat födelseår, de fyra sista siffrorna i kortnummer, Slack-arbetsytor, dokumentmetadata, indikationer på iPhone-säkerhetskopior och en uppskattad värdering av Roblox-konton. Denna process transformerar råa loggar till en detaljerad profil som tydligt visar offrets digitala fotavtryck.

Den mest distinkta funktionen hos denna malware är dess användning av stora språkmodeller via plattformen OpenRouter för att analysera det stulna materialet. Programvaran skickar det serialiserade datapaketet via en POST-förfrågan tillsammans med en systemprompt som instruerar modellen att agera som en analytiker specialiserad på måldata. Modellen ombeds generera en rapport med specifika avsnitt som klassificerar offrets värde baserat på potential för monetarisering samt en bedömning av offrets säkerhetsrutiner och lösenordskvalitet. För att säkerställa noggrannhet och förutsägbarhet i textgenereringen är modellens temperaturparameter inställd på ett lågt fast värde på 0,2.

För att hantera de inbyggda säkerhetsmekanismer som finns i många artificiella intelligens-system har angriparna implementerat en kaskadarkitektur. Om den primära språkmodellen vägrar utföra den begärda analysen på grund av etiska begränsningar eller säkerhetsregler, växlar VOLTA automatiskt till en kedja av tre alternativa modeller. Denna design indikerar att operatörerna har förutsett potentiella misslyckanden och har ingenjörsmässigt utformat systemet för att kringgå skyddsräcken genom att hitta mindre strikta modeller. Syftet är att alltid erhålla en utvärdering som kopplar samman disparata datafragment, såsom relationer mellan personlig information och valda lösenord, för att maximera värdet av den stulna informationen.

VOLTA skiljer sig också från många andra skadliga program genom att den inte förlitar sig på infrastruktur som ägs direkt av angriparna och att den possesses förmågan att själv radera sig från den infekterade enheten efter att uppdraget är slutfört. Verktyget går längre än att endast kopiera kryptoplånböcker; det inkluderar ett inbyggt verktyg för att knäcka lagrade plånböcker och dokumenterar framgångsrika intrång i en specifik rapportsektion. Denna kombination av avancerad datainsamling, automatiserad analys med artificiell intelligens och försiktighetsåtgärder för att undvika detektering representerar en ny nivå av sofistikering inom området för informationsstöld.