Исследователи Cisco Talos обнаружили вредоносную программу VOLTA-AUTODOXER, которая умеет не только красть личные данные, но и поручать нейросети их анализ. Задача ИИ — составить подробное досье на жертву и определить, насколько она интересна преступникам.
Вредонос работает на Windows. Он собирает сохранённые в браузерах пароли, данные банковских карт, ключи криптокошельков и токены авторизации. Под удар попадают аккаунты Discord, Telegram, Steam, Roblox и других сервисов.
Но украденными паролями дело не ограничивается.
Программа использует полученный доступ к аккаунтам, чтобы выяснить подробности жизни человека. Например, ищет в Gmail чеки за покупки и доставку еды, изучает историю заказов Uber Eats и DoorDash. По этим сведениям можно определить домашний адрес, привычки и финансовые возможности владельца компьютера.
Затем собранная информация передаётся нейросети через сервис OpenRouter.
В инструкции для ИИ прописана роль аналитика, который должен оценить потенциальную жертву. Модель просят связать разрозненные сведения, выделить наиболее ценные активы, проверить качество паролей и найти слабые места в защите аккаунтов.
Для этого авторы вируса выбрали Claude Opus 4.6.
Причём разработчики заранее предусмотрели, что нейросеть может отказаться выполнять подозрительное задание. В таком случае программа должна переключиться на Kimi K2, а если и та не поможет — на Gemini 2.5 Flash.
Это предусмотренная в коде последовательность, а не подтверждение того, что все три модели действительно согласились помогать преступникам. Сам вирус при этом способен работать и без ИИ.
Cisco Talos обнаружила VOLTA-AUTODOXER при исследовании вредоносных программ с нейросетевыми функциями. Подтверждений применения этого образца в реальных атаках у исследователей пока нет.
Есть признаки, что программу создавали для продажи другим злоумышленникам. В её коде предусмотрены сменные настройки, позволяющие адаптировать готовый вредонос под разных покупателей.
Особенно неприятна перспектива автоматической сортировки украденных данных. Пароли и токены доступа могут быстро устаревать, поэтому преступникам выгодно сразу понимать, какие аккаунты стоит атаковать в первую очередь.
Если подобная программа заразила компьютер, одной смены пароля недостаточно: нужно также завершить подозрительные сеансы и отозвать украденные токены доступа.