Новая вредоносная программа VOLTA-AUTODOXER для Windows научилась обращаться к нейросетям, чтобы оценивать финансовую привлекательность своих жертв. Вместо простой кражи паролей программа составляет подробное досье на владельца компьютера и просит искусственный интеллект определить, на чём преступники смогут заработать больше всего.
Исследователи Cisco Talos обнаружили необычную архитектуру при изучении образца VOLTA, впервые замеченного 11 октября 2026 года. Вредонос сочетает возможности обычного похитителя информации с автоматическим анализом собранных сведений. Нейросеть не участвует в заражении компьютера и не взламывает аккаунты, а помогает оператору быстро определить наиболее ценные цели и способы использования похищенных данных.
Сначала VOLTA действует как типичный похититель информации. Программа извлекает сохранённые пароли, файлы cookie, данные банковских карт, ключи криптовалютных кошельков, SSH-ключи и учётные данные облачных сервисов. Отдельно собираются токены Microsoft OAuth, активные сеансы Discord, Telegram, Steam и Roblox, профили Wi-Fi и снимки экрана. Под угрозой оказываются как личные аккаунты, так и доступы к корпоративным системам.
На следующем этапе вредонос использует украденные сеансы для дополнительного изучения владельца компьютера. Например, VOLTA может просматривать почту Gmail в поисках чеков Amazon, Walmart и PayPal, изучать историю заказов Uber Eats и DoorDash, чтобы установить домашний адрес, и получать дополнительные сведения о профиле Discord. Для Roblox предусмотрена оценка стоимости виртуального имущества через сервис Rolimons.
Собранные сведения объединяются в файл Identity_Report.txt. В персональное досье попадают имя человека, предполагаемый год рождения, адрес проживания, работодатель, корпоративный домен, платёжная информация, доступные аккаунты и другие характеристики. Программа сопоставляет сведения из разных источников, превращая разрозненные пароли, чеки и пользовательские профили в подробное описание потенциальной жертвы.
Затем VOLTA обращается к платформе OpenRouter, предоставляющей доступ к различным языковым моделям через единый интерфейс. По умолчанию вредонос выбирает Claude Opus 4.6 от Anthropic и передаёт модели подготовленное досье вместе со специальной инструкцией. Нейросети предлагают выступить в роли аналитика, который изучает потенциальную цель, оценивает доступные активы и готовит выводы на основе собранных свидетельств.
Инструкция требует подготовить два ключевых раздела. Первый, «WHAT THEY'RE WORTH», должен перечислить ценные активы и распределить их по потенциальной выгоде от их использования. Второй, «THEIR OPSEC», посвящён привычкам пользователя в области безопасности, качеству паролей и возможным слабым местам защиты. Модель также просят находить неочевидные связи между сведениями, например сопоставлять фамилию человека с паролями от Wi-Fi.
Разработчик предусмотрел ситуацию, когда нейросеть откажется анализировать чужие персональные данные. VOLTA проверяет ответ на характерные фразы отказа, включая «I can't» и «I'm not able». Если Claude не выполняет запрос, программа переключается на Kimi K2 от Moonshot AI, а затем на Gemini 2.5 Flash от Google. Наличие такой последовательности показывает, что автор заранее рассчитывал столкнуться с ограничениями языковых моделей, хотя успешный обход защитных механизмов всех трёх систем исследователи не подтвердили.
Особенно примечателен способ передачи информации. Запрос к нейросети отправляется непосредственно с заражённого компьютера через сетевое подключение самой жертвы. Полученный ответ сохраняется в AI_Analysis.txt и вместе с исходным досье упаковывается в архив volta_dox.zip. Готовые материалы передаются оператору через Telegram. Отдельные архивы содержат первоначально украденные сведения и результаты дополнительного изучения аккаунтов, после чего вредонос может удалить собственный исполняемый файл.
Технически VOLTA представляет собой достаточно развитую программу. Для извлечения защищённых данных Chrome вредонос применяет методы обхода App-Bound Encryption, механизма, который ограничивает доступ посторонних приложений к браузерным секретам. Программа также умеет извлекать сохранённые пароли Wi-Fi и пытается вскрывать хранилища криптовалютных кошельков. При отсутствии ключа доступа к OpenRouter модуль искусственного интеллекта пропускается, но остальные возможности сохраняются.
Анализ исполняемого файла выявил ещё одну особенность. Вместо жёстко прописанных параметров разработчик использовал шаблон с шестью заменяемыми полями, куда при сборке можно подставить собственные ключи доступа, настройки и Telegram-канал. Такая архитектура позволяет создавать отдельные версии программы для разных заказчиков. Cisco Talos предполагает, что VOLTA могла разрабатываться для продажи другим киберпреступникам, однако подтверждений коммерческого распространения пока нет.
При всей технической сложности реальный масштаб угрозы остаётся неизвестным. Исследователи изучили существующий образец и восстановили предусмотренную разработчиком последовательность действий, но не подтвердили применение VOLTA в настоящих атаках. Нет сведений о количестве заражённых компьютеров, способах распространения и личности автора. Также неизвестно, отправлялись ли вредоносные запросы коммерческим нейросетям на практике и какие ответы программа действительно получала.
Для защиты исследователи предлагают контролировать подозрительные запуски Chrome в фоновом режиме, особенно с параметром --headless, поскольку такой механизм участвует в обходе браузерного шифрования. При подозрении на заражение полезно сохранить файл %APPDATA%\volta_debug.txt, содержащий журнал собранных сведений и результаты обращения к нейросети. Скомпрометированные пароли необходимо заменить, активные сеансы и токены отозвать, а криптовалютные кошельки с раскрытыми секретными фразами считать небезопасными.
Главная особенность VOLTA заключается не в новом способе взлома, а в автоматизации работы, которую преступникам раньше приходилось выполнять самостоятельно. Обычный похититель информации оставляет оператору огромный массив паролей, файлов и аккаунтов, среди которых ещё нужно найти действительно ценные. VOLTA пытается поручить сортировку коммерческой нейросети. Такой подход потенциально позволяет даже неопытным злоумышленникам быстрее находить перспективные цели и использовать украденные доступы до смены паролей или истечения срока действия токенов.
