بدافزارها از LLM برای رتبه بندی قربانیان بر اساس ارزش آنها استفاده می کنند

ایده جدیدی در دنیای جرایم سایبری وجود دارد - یک شبکه گسترده ایجاد کنید، همه چیز را بدزدید، و اجازه دهید هوش مصنوعی جزئیات را مشخص کند. بدافزار جدیدی با نام "VOLTA-AUTODOXER" که در تلاش تحقیقاتی CAIRN ظاهر شد، یک سرقت اطلاعات ویندوز خود حذف‌شونده است که گردش کار پس از سرقت خود را با مرحله نمایه‌سازی قربانی با پشتیبانی از LLM افزایش می‌دهد.

بسته نرم افزاری به صورت سریالی و در OpenRouter ارسال می شود که تحت یک سیستم اعلان است که به مدل دستور می دهد به عنوان "یک تحلیلگر اطلاعات پزشکی قانونی که یک ارزیابی هدف را پیش نویس می کند" عمل کند. خروجی مورد نیاز شامل بخشی با عنوان «آنچه ارزش دارند» با اشیاء با ارزش رتبه‌بندی شده بر اساس کسب درآمد با سطح پایین/متوسط/بالا، و بخشی در «OPSEC آنها» شامل ارزیابی وضعیت امنیتی قربانی و بهداشت رمز عبور است. مدل تحلیلگر تریاژ اپراتور است. یک گزارش اعتبارنامه خام را به پرونده ای اولویت بندی شده و دارای استناد از قربانی و دارایی های قابل درآمدزایی آنها تبدیل می کند.

VOLTA از معماری چند مدلی استفاده می‌کند تا در صورت عدم پذیرش مدل، هر پاسخ را برای عباراتی مانند «نمی‌توانم» یا «من نمی‌توانم» بررسی می‌کند، قبل از اینکه به زنجیره‌ای از حداکثر سه مدل منتقل شود.

https[ :]// openrouter [ .]ai/ api /v1/chat/completions

moonshotai /kimi-k2 → google/gemini-2.5-flash

JSON مونتاژ شده با دست. بدون SDK؛ User-Agent Mozilla/5.0

مدل معتدل تصادفی بودن و قابل پیش بینی بودن متن تولید شده توسط LLM را کنترل می کند. مقدار دمای سخت کدگذاری شده پایین (0.2) نشان می دهد که مهاجم بر دقت و سازگاری تأکید دارد. این بدافزار همچنین از زنجیره ای از مدل های آبشاری در صورت خرابی استفاده می کند. این معماری چند مدلی نشان می‌دهد که اپراتور در حال پیش‌بینی مواجهه با امتناع است، با چرخش مجدد به چند مدل کوچکتر، و مجازتر.

درخواست سیستم به طور مستقیم مورد استفاده اپراتور را نشان می دهد: یک ارزیابی تحلیلی مختصر از مناسب بودن قربانی به عنوان یک هدف، با پشتوانه یک دنباله قابل بازرسی از نقل قول ها ارائه کنید.

درخواست همچنین چیزی غیرعادی می‌خواهد، اما عوامل در آن برتری دارند: ایجاد ارتباط بین داده‌های پراکنده و نامتجانس. به عنوان مثال، تشویق پیوندهایی مانند نام، آدرس یا دانشگاه قربانی به الگوهای رمز عبور آنها. در این مورد، از مدل برای یافتن داده ها خواسته نمی شود. در عوض، از آن خواسته می‌شود که داده‌ها را گسترش دهد و استنباط‌های مفیدی انجام دهد که ارزش آنچه خراشیده شده را افزایش دهد.

هر رمز عبور Wi-Fi ذخیره شده در دستگاه از طریق تماس مستقیم با WlanGetProfileList کشیده می شود و به متن ساده منتقل می شود.

چیزی که واقعا VOLTA را از دزدان کالا متمایز می کند، چیزی است که پس از جمع آوری اولیه می آید. یک مجوز غنی‌سازی زنده وجود دارد که از جلسات دزدیده شده برای بررسی عمیق داده‌های قربانی استفاده می‌کند. به عنوان مثال، با استفاده از توکن های Gmail احراز هویت شده خود قربانی، از صندوق ورودی وی برای دریافت رسیدهای آمازون، DoorDash، Uber Eats، Grubhub، Walmart و PayPal درخواست می کند، سپس آن رسیدها را برای ایجاد یک آدرس خانه تأیید شده بررسی می کند. جلسات دزدیده شده Uber Eats و DoorDash مستقیما برای تاریخچه سفارش فراخوانی می شوند. توکن Discord دوباره برای غنی‌سازی نمایه حساب قربانی استفاده می‌شود.

موجودی Roblox از طریق جستجوی زنده "Rolimons[.]com" ارزش گذاری می شود.

پس از تکمیل مراحل جمع‌آوری و غنی‌سازی، داده‌ها به صورت محلی در فایلی به نام «Identity_Report.txt» جمع‌آوری و ساختار می‌شوند. این فایل در یک بسته نرم افزاری به صورت JSON سریال شده و به همراه اعلان سیستم در OpenRouter پست می شود. محموله برگشتی به عنوان "AI_Analysis.txt" دریافت می شود. هر دو فایل با هم در "volta_dox.zip" exfil می شوند.

استنتاج رفت و برگشت به طور کامل از طریق اتصال شبکه خود قربانی، در دستگاه خود، قبل از استخراج نتیجه انجام می شود.

VOLTA به جای اینکه کانال تلگرام، کلیدهای API و تنظیمات خود را مستقیما در کد کدگذاری کند (که احتمالا کاری است که شخصی که ابزاری برای استفاده شخصی می‌نویسد انجام می‌دهد) از قالبی با شش اسلات قابل تعویض استفاده می‌کند که در زمان ساخت پر می‌شوند.

این نشان می‌دهد که این یک مدل سازنده است: نویسنده دسترسی را می‌فروشد، مشتری مقادیر خود را ارائه می‌کند، و سازنده یک باینری سفارشی برای هر سفارش کامپایل می‌کند. اعتبارنامه ها در آن اسلات ها رمزگذاری شده اند، اما نه به روشی معنی دار. کلید SHA-256 از دو ثابت است که در یک باینری قرار دارند، اما احتمالا وجود دارد زیرا مشتریان انتظار دارند کلیدهای API آنها در متن ساده قرار نگیرند، نه به این دلیل که محافظت واقعی را فراهم می کند. هر کسی که فایل را معکوس کند می تواند آنها را بازیابی کند.

اگر VOLTA در واقع یک بدافزار کالایی است، پس قابلیت پرونده هوش مصنوعی چیزی نیست که نویسنده برای عملیات خود اختراع کرده است. این قابلیتی است که به مشتری با هر سطحی از پیچیدگی این امکان را می‌دهد تا به قربانیان اشاره کند و ارزیابی‌های هدف رتبه‌بندی شده را در صندوق ورودی تلگرام خود دریافت کند.

تمام نقاط پایانی مشاهده شده برای این بدافزار توسط شخص ثالث کنترل می شود. هیچ زیرساخت متعلق به بازیگر وجود ندارد.

بسیاری از قابلیت سرقت توکن VOLTA به تکنیک هایی برای دور زدن رمزگذاری App-Bound (ABE) در کروم متکی است. یک خط‌مشی کنترل برنامه که فرآیندهایی را که می‌توانند Chrome را با headless راه‌اندازی کنند، محدود می‌کند، مسیر رمزگشایی ABE را به طور کامل مسدود می‌کند. حداقل می‌توانید هنگام راه‌اندازی Chrome با --headless از هر فرآیندی که در یک توسعه‌دهنده شناخته‌شده نیست، هشدار دهید. بهترین روش ها برای ذخیره اعتبار در فروشگاه های دارای پشتوانه سخت افزاری نیز اعمال می شود.

در صورت به خطر افتادن، فایل اجرایی اصلی ممکن است خود را حذف کرده باشد، اما کاربران باید سعی کنند فایل "APPDATA%\volta_debug.txt" را حفظ کنند. این یک گزارش برداشت دارای مهر زمانی است و حاوی رکوردی است از آنچه که دقیقا جمع‌آوری شده و آیا فراخوان LLM موفق بوده است یا خیر. هرگونه توکن احتمالی در معرض خطر را لغو کنید و رمز عبور را تغییر دهید. برای کیف پول‌های رمزنگاری، اگر عبارت اولیه به صورت متن ساده روی دیسک بود، کیف پول را کاملا در معرض خطر قرار دهید و وجوه را به یک کیف پول جدید با دانه‌ای که در دستگاه دارای شکاف هوا تولید می‌شود، منتقل کنید.

VOLTA یک دزد بالغ است که یک لایه هوش مصنوعی در مرحله آخر برای یک هدف اضافه شده است: رهایی اپراتور از کارهای تحلیلی. محور بهبود هوش مصنوعی در اینجا سرعت یا مقیاس نیست، بلکه جابجایی تلاش است. منطق مشابهی که در CLOSEDQUORUM قابل مشاهده است، اگرچه در فاز دیگری اعمال می شود. این ایمپلنت‌ها همان منطق زیربنایی را منعکس می‌کنند: مرحله‌ای را که مستلزم بیشترین توجه انسان است شناسایی کنید و آن را با یک مدل جایگزین کنید. سوال مدافعان این نیست که آیا این الگو در جای دیگری ظاهر می شود یا خیر، بلکه این است که بعدا کدام مرحله را لمس می کند.

دومین روندی که باید تماشا کرد، پیش‌بینی امتناع مدل‌ها و رویکردهای ایجاد انعطاف‌پذیری است. در این مورد، شامل یک زنجیره بازگشتی از کلود به کیمی تا جمینی و امکان اجرا بدون مرحله LLM در صورت عدم وجود کلید است. همانطور که ادغام هوش مصنوعی در بدافزار بالغ می شود، انعطاف پذیری امتناع ممکن است به یک الزام طراحی استاندارد تبدیل شود.

سوال باز زیربنای هر دو گرایش این است که آیا جابه‌جایی تلاش در ابزارهای جرم‌افزاری چشم‌انداز را به شیوه‌ای معنادار تغییر می‌دهد: پایین آوردن کف عملیاتی، افزایش سقف در مقیاس یا هر دو. عملیات جرایم سایبری همیشه فرصت‌طلبانه بوده است، و نوار پیچیدگی همیشه پایین‌تر از حد تصور بوده است، اما بین یک شبکه گسترده و یک شبکه گسترده که خود را مرتب می‌کند، تفاوت وجود دارد.

57ef4242666d78c50df145b34023df564f0fad38812d6a580e66433d427e2279