По сообщению Wired, новые исследования показывают, что хакеры начали внедрять функциональность искусственного интеллекта в новый вид вредоносного ПО, называемого «Volta-Autodoxer». Это позволяет системе автоматически профилировать жертв и быстро выявлять наиболее ценные цели и их информацию. Исследование, проведенное специалистами Cisco Talos, освещает способы, которыми коммерческие языковые модели используются для улучшения возможностей традиционного вредоносного ПО. Часто скрытые в поддельном программном обеспечении, программы для кражи информации предназначены для того, чтобы оправдать свое название, захватывая имена пользователей, пароли, токены аутентификации, куки, данные кредитных карт и многое другое с зараженных машин. Многие из крупнейших утечек данных в последние годы произошли из-за того, что хакеры получили доступ к целям, используя данные для входа, собранные программами для кражи информации. В целом, это вредоносное ПО использовалось для кражи сотен миллионов учетных записей в последние годы. «Volta довольно зрелый в качестве программы для кражи информации. Он охватывает широкий спектр собираемой информации», — говорит Райан Феттерман, исследователь безопасности Cisco Talos. «Он собирает все эти данные вместе, в конечном итоге создавая сериализованный досье, которое может быть отправлено нескольким языковым моделям. Он просит модель действовать как аналитик разведки и производить структурированную оценку жертвы с ссылками на источники. Это похоже на функцию приоритизации и анализа.» Talos отметил вредоносное ПО с помощью своей новой системы CAIRN, разработанной для идентификации инструментов взлома, которые включают возможности ИИ. Феттерман отмечает, что Talos не отслеживал, использовалось ли Volta в реальных атаках. Традиционные возможности Volta как программы для кражи информации мощны и, похоже, нацелены на молодежь с активной цифровой жизнью. Он ищет пароли, хранящиеся в браузерах, токены Microsoft OAuth, куки, данные платежных карт и фразы для восстановления криптовалютных кошельков, а также активные сессии в Discord, Telegram, Steam и Roblox. Затем вредоносное ПО проводит второй, более глубокий анализ, используя первоначальные находки. Изучая Gmail или другую центральную учетную запись цели, Volta создает более полное представление о жертве, их местоположении и привычках, используя данные, такие как квитанции и история заказов с сервисов, включая UberEats и DoorDash. После завершения этого процесса вредоносное ПО передает свои находки в инструменты ИИ для анализа, используя OpenRouter, сервис, который может отправлять запросы нескольким различным поставщикам ИИ. Volta по умолчанию отправляет свои запросы к Claude Opus 4.6 от Anthropic. Однако, готовясь к возможности, что защитные механизмы модели могут заблокировать эту активность, Volta имеет запасные варианты на китайской открытой модели Moonshot AI Kimi K2 и, если это не сработает, на Google Gemini 2.5 Flash. Включение запасных вариантов и использование экономически эффективных моделей старого поколения — распространенные техники среди злоумышленников. Создатели Volta включили 240-словный запрос, включая маркированные списки и пронумерованные пункты, в качестве инструкций для любой языковой модели, анализирующей собранные данные. «Вы — аналитик судебной разведки, составляющий оценку цели на основе структурированного пакета доказательств», — говорится в запросе Volta. Он инструктирует чат-бота составить «исполнительное резюме» о человеке, детали его деятельности, «насколько он ценен» и краткое изложение «их операционной безопасности». Он добавляет, что чат-бот должен «связывать факты из разных областей», например, проверять, совпадает ли пароль Wi-Fi с фамилией человека. «Идите глубже, а не шире», — говорится в запросе. «Запрос довольно тщательно составлен, чтобы не подразумевать ничего явно злонамеренного», — говорит Феттерман. «Но они закладывают ожидание возможности столкнуться с отказами модели при первом запросе. Поэтому они планируют переход на более разрешительные модели, если первая не сработает. Также существует возможность использовать имплант без ИИ. Вызовы ИИ — это что-то дополнительное, но вредоносное ПО все равно будет работать без него.» Некоторые низкоуровневые киберпреступники и мошенники жаловались на то, что ИИ заполнил форумы киберпреступности, но исследователи безопасности все чаще обнаруживают других хакеров, использующих языковые модели для задач программирования или анализа больших объемов украденной информации. Например, исследователи из компании Crowdstrike недавно сообщили Wired, что они видели четыре различных группы хакеров с разной степенью сложности, работающих на китайском, испанском и английском, индонезийском и русском языках, использующих инструменты ИИ для компрометации десятков целей по всему миру, включая государственные учреждения и бизнес в области здравоохранения, розничной торговли и туризма. Феттерман из Cisco говорит, что Volta содержит некоторые подсказки о том, что он мог быть создан для продажи различным злоумышленникам, а не разрабатывался для кампаний конкретного актера. И хотя вредоносное ПО в своей основе по-прежнему является традиционной программой для кражи информации, расширение возможностей ИИ предвещает еще более инвазивную и зловещую деятельность в будущем. «Если вы можете быстрее идентифицировать свои высокоценные цели, у вас, вероятно, есть больше шансов использовать их учетные данные или аутентифицироваться с помощью украденных токенов чаще, чем если бы вам пришлось делать эту сортировку самостоятельно», — говорит Феттерман, ссылаясь на тот факт, что токены аутентификации истекают, а пароли могут быть изменены. «Мы видим более продвинутые возможности, доступные злоумышленникам с низким уровнем квалификации. Это действительно интересно и тревожно.» Материал подготовлен нейросетью на основе оригинальной публикации. ИИ может ошибаться в деталях (цифры, имена, даты, цитаты) — для важной информации сверяйтесь с первоисточником.