بدافزار Infostealer جدید شبح وار از هوش مصنوعی برای قربانیان "خودکار" استفاده می کند

تحقیقات جدیدی که به طور انحصاری با Kernel Panic به اشتراک گذاشته شده است، نشان می دهد که هکرها شروع به افزودن عملکرد هوش مصنوعی به نوع جدیدی از بدافزارهای اطلاعاتی کرده اند، که این امکان را برای سیستم فراهم می کند تا به طور خودکار مشخصات قربانیان را نشان دهد و به سرعت بالاترین ارزش اهداف و اطلاعات آنها را نشان دهد. یافته‌های محققان Cisco Talos که «Volta-Autodoxer» نامیده می‌شود، به دلیل اینکه بدافزار به خودش اشاره می‌کند، راه‌هایی را که از LLM‌های تجاری برای تقویت و افزایش قابلیت‌های انواع بدافزارهای شناخته شده استفاده می‌شود، روشن می‌کند. اغلب در نرم افزارهای تقلبی پنهان شده اند، دزدهای اطلاعاتی طراحی می شوند

برای مطابقت با نام خود، گرفتن نام‌های کاربری، رمز عبور، نشانه‌های احراز هویت، کوکی‌ها، داده‌های کارت اعتباری و موارد دیگر از دستگاه‌های آلوده. بسیاری از بزرگ‌ترین نقض‌های داده در سال‌های اخیر - از نقض گسترده مرتبط با دانه‌های برف که شامل AT&T و Ticketmaster می‌شود تا سرقت یک ترابایت داده دیزنی - ناشی از دسترسی هکرها به اهداف با استفاده از جزئیات ورود به سیستم جمع‌آوری‌شده توسط دزدان اطلاعاتی است. به طور کلی، این بدافزار در سال های اخیر برای سرقت صدها میلیون اعتبار استفاده شده است. ولتا به عنوان یک دزد بسیار بالغ است.

رایان فترمن، محقق امنیتی در Cisco Talos، می‌گوید: «این یک شبکه نسبتا گسترده برای آنچه جمع‌آوری می‌کند، ایجاد می‌کند.» «همه این چیزها را با هم جمع‌آوری می‌کند و در نهایت یک پرونده سریالی تولید می‌کند که می‌تواند برای چند مدل LLM ارسال کند. از مدل می خواهد که مانند یک تحلیلگر اطلاعاتی عمل کند و ارزیابی ساختارمند مبتنی بر استناد از قربانی ارائه کند. این مانند یک تابع اولویت بندی و تجزیه و تحلیل است." Talos این بدافزار را با استفاده از چارچوب جدید CAIRN خود که برای شناسایی ابزارهای هک که قابلیت های هوش مصنوعی را در خود جای داده است، معرفی کرد.

Fetterman اشاره می کند که Talos ردیابی نکرد که آیا Volta در طبیعت استفاده شده است یا خیر. قابلیت‌های سنتی سرقت اطلاعات ولتا قدرتمند است و به نظر می‌رسد برای هدف قرار دادن کاربران جوان اینترنت با زندگی دیجیتالی قوی طراحی شده است. رمزهای عبور ذخیره شده در مرورگرها، توکن‌های Microsoft OAuth، کوکی‌ها، کارت‌های پرداخت و عبارات اولیه کیف پول رمزنگاری و همچنین جلسات فعال Discord، Telegram، Steam و Roblox را جستجو می‌کند. سپس بدافزار با استفاده از یافته های دور اول خود، یک جاروی دوم و عمیق تر انجام می دهد.

ولتا با نگاه کردن به جی‌میل هدف یا یک حساب مرکزی دیگر، تصویر کامل‌تری از قربانی، موقعیت مکانی و عادت‌های او با استفاده از داده‌هایی مانند رسیدها و تاریخچه سفارش از سرویس‌هایی از جمله UberEats و DoorDash ایجاد می‌کند. پس از انجام همه این‌ها، بدافزار یافته‌های خود را به ابزارهای هوش مصنوعی برای تجزیه و تحلیل با استفاده از OpenRouter می‌رساند، سرویسی که می‌تواند اعلان‌ها را به چندین ارائه‌دهنده هوش مصنوعی ارسال کند. ولتا درخواست های خود را به طور پیش فرض به Claude Opus 4.6 از Anthropic می دهد.

اما ظاهرا آماده شدن برای این احتمال که نرده‌های محافظ مدل می‌توانند فعالیت را مسدود کنند، Volta با مدل‌های باز چینی Moonshot AI Kimi K2 و در صورت عدم موفقیت، Gemini 2.5 Flash گوگل ساخته شده است. ایجاد نسخه‌های جایگزین و تکیه بر مدل‌های مقرون‌به‌صرفه و نسل قدیمی‌تر، تکنیک‌های رایج در میان مهاجمان است. سازندگان Volta یک درخواست 240 کلمه ای شامل نقاط گلوله و یک لیست شماره گذاری شده را به عنوان بخشی از دستورالعمل های خود برای هر LLM تجزیه و تحلیل داده های جمع آوری شده گنجانده اند.

در درخواست ولتا آمده است: «شما یک تحلیلگر اطلاعات پزشکی قانونی هستید که یک ارزیابی هدف را از یک بسته شواهد ساختاریافته پیش‌نویس می‌کنید. این ربات به چت دستور می دهد تا یک «خلاصه اجرایی» در مورد شخص، جزئیات کارهایی که انجام می دهد، «ارزش آنها» و خلاصه ای از «عملکرد آنها» تهیه کند. این ربات می‌افزاید که چت‌بات باید «نقاط‌ها را در فیلدها وصل کند»، به‌عنوان مثال، بررسی کند که آیا رمز عبور وای‌فای شخصی با نام خانوادگی او مطابقت دارد یا خیر. اعلان می گوید: «عمیق بروید، نه عریض». Fetterman می‌گوید: «این درخواست با دقت طراحی شده است تا به هیچ چیز آشکارا مخرب اشاره نکند.

"اما آنها در حال ساختن این انتظار هستند که به طور بالقوه به رد مدل ها در اولین درخواست پاسخ دهند. و بنابراین آنها برنامه ریزی می کنند تا با پایین آمدن زنجیره، به نوعی به مدل های مجاز تر تبدیل شوند. و همچنین این قابلیت وجود دارد که همچنان از ایمپلنت بدون هوش مصنوعی استفاده کنند. تماس های هوش مصنوعی به نوعی بالاتر و فراتر هستند، اما بدافزار همچنان بدون آن کار می کند." برخی از مجرمان سایبری سطح پایین و کلاهبرداران از شیفتگی هوش مصنوعی در پر کردن انجمن‌های جرایم سایبری شکایت کرده‌اند، اما محققان امنیتی به طور فزاینده‌ای در حال کشف هکرهای دیگری هستند که از LLM برای کارهای کدگذاری یا تجزیه و تحلیل اطلاعات دزدیده شده استفاده می‌کنند.

به عنوان مثال، محققان در شرکت اطلاعاتی تهدیدات Crowdstrike اخیرا به WIRED گفتند که چهار گروه هک مجزا با پیچیدگی‌های متفاوت را مشاهده کرده‌اند که به زبان‌های چینی، اسپانیایی و انگلیسی، اندونزیایی و روسی فعالیت می‌کنند و از ابزارهای هوش مصنوعی برای به خطر انداختن ده‌ها هدف در سراسر جهان از جمله نهادهای دولتی و مشاغل در مراقبت‌های بهداشتی، خرده‌فروشی و سفر استفاده می‌کنند. Fetterman از Cisco می‌گوید Volta حاوی سرنخ‌هایی است مبنی بر اینکه ممکن است برای فروش به طیف وسیعی از مهاجمان ساخته شده باشد تا اینکه برای کمپین‌های یک بازیگر خاص ساخته شده باشد.

و در حالی که بدافزار در هسته آن هنوز یک سرقت اطلاعات سنتی است، توسعه هوش مصنوعی فعالیت‌های تهاجمی و شوم‌تری را در آینده پیش‌بینی می‌کند. فترمن با اشاره به این واقعیت که توکن‌های احراز هویت منقضی می‌شوند و رمزهای عبور را می‌توان تغییر داد، می‌گوید: «اگر بتوانید اهداف با ارزش خود را سریع‌تر شناسایی کنید، احتمالا شانس بیشتری برای استفاده از اعتبار آنها یا احراز هویت با استفاده از توکن‌های دزدیده شده بیشتر از آن دارید که ممکن است خودتان این تریاژ را انجام دهید. ما شاهد قابلیت های پیشرفته تری هستیم که برای مهاجمان سطح پایین تر قابل دسترسی است.

واقعا جالب و آزاردهنده است.»