Cisco Talos يوثّق برمجية VOLTA-AUTODOXER تسرق البيانات وتقيّم الضحايا بالذكاء الاصطناعي
البرمجية الخبيثة تستخدم Claude Opus 4.6 افتراضياً وتتحول إلى Kimi K2 ثم Gemini 2.5 Flash إذا رفض النموذج أو جاء الرد ضعيفاً.
نشرت Cisco Talos بحثاً يوثّق برمجية خبيثة من نوع سرقة المعلومات على Windows تُدعى VOLTA-AUTODOXER، تقوم بجمع بيانات الضحية ثم ترسلها إلى نموذج ذكاء اصطناعي لإنتاج «تقييم أهداف» مُرتّب حسب القيمة، بحسب ما أورده موقع tomshardware.com.
وتطلب البرمجية التقييم عبر OpenRouter، مع تعيين Anthropic's Claude Opus 4.6 نموذجاً افتراضياً وبدرجة حرارة 0.2. وإذا رفض النموذج الطلب أو جاء الرد ضعيفاً، تنتقل البرمجية إلى Kimi K2 من Moonshot AI ثم إلى Gemini 2.5 Flash من Google.
وتجمّع البرمجية ملف Identity_Report.txt وحزمة JSON محلياً، وتحفظ أي رد من الذكاء الاصطناعي في ملف AI_Analysis.txt، ثم تسرّب الملفين معاً في أرشيف volta_dox.zip. وتشمل المسروقات كلمات مرور المتصفح وملفات تعريف الارتباط وبطاقات الدفع وملفات البريد الإلكتروني ورموز Discord وOAuth وملفات SSH وإعدادات السحابة وكلمات مرور Wi-Fi المحفوظة بنص صريح.
كما تبحث البرمجية في بريد Gmail الخاص بالضحية عن إيصالات من Amazon وDoorDash وUber Eats وGrubhub وWalmart وPayPal، وتقيّم عناصر Roblox عبر Rolimons. وتحتوي الحمولة على قالب بستة خانات قابلة للتبديل لقناة Telegram ومفاتيح API وإعدادات، تُملأ وقت البناء، ما يشير إلى أنها معدة لإعادة البيع.
وتتجاوز البرمجية تشفير App-Bound Encryption في Chrome عبر تشغيل Chrome في الوضع بلا واجهة (headless)، وهي طريقة يمكن لسياسة التحكم في التطبيقات التي تقيّد تشغيل Chrome بهذا الوضع أن تمنعها. وحتى من دون مفتاح API لـ OpenRouter، تستطيع البرمجية إرسال الملف المسروق عبر Telegram دون تحليل الذكاء الاصطناعي.
وينصح Talos الضحايا بالاحتفاظ بسجل volta_debug.txt وإبطال جميع مفاتيح API والرموز أو تدويرها. ويُذكر أن Claude Opus 4.6 وُصف بأنه نموذج أقدم صدر في فبراير.
أسئلة سريعة
ما هي برمجية VOLTA-AUTODOXER؟
برمجية خبيثة لسرقة المعلومات على Windows وثّقها باحثو Cisco Talos، تجمع بيانات الضحية وترسلها إلى نموذج ذكاء اصطناعي لإنتاج تقييم مُرتّب للأهداف.
أي نماذج ذكاء اصطناعي تستخدمها البرمجية؟
تستخدم Claude Opus 4.6 افتراضياً عبر OpenRouter، وتتحول إلى Kimi K2 ثم Gemini 2.5 Flash إذا رفض النموذج أو جاء الرد ضعيفاً.
كيف يمكن منع تجاوز تشفير Chrome؟
تتجاوز البرمجية App-Bound Encryption عبر تشغيل Chrome في الوضع بلا واجهة، ويمكن لسياسة التحكم في التطبيقات التي تقيّد تشغيل Chrome بهذا الوضع أن تمنع ذلك.