Volta-Autodoxer: Νέο κακόβουλο λογισμικό αξιοποιεί μοντέλα AI για προφίλ των θυμάτων
Η Cisco Talos εντόπισε νέο infostealer που στέλνει κλεμμένα δεδομένα σε μοντέλα τεχνητής νοημοσύνης, ώστε να συντάσσεται αυτόματα αξιολόγηση κάθε θύματος.
Ερευνητές της Cisco Talos εντόπισαν ένα νέο κακόβουλο λογισμικό κλοπής δεδομένων (infostealer) με την ονομασία Volta-Autodoxer, το οποίο στέλνει τις πληροφορίες που υποκλέπτει σε μοντέλα τεχνητής νοημοσύνης και δημιουργεί αυτόματα πλήρες προφίλ του θύματος. Το όνομά του προέρχεται από τον τρόπο με τον οποίο αυτοαποκαλείται μέσα στον ίδιο του τον κώδικα.
Πώς λειτουργεί
Σύμφωνα με τα στοιχεία της Cisco Talos, το λογισμικό κάνει αρχικά τη συνήθη συλλογή δεδομένων και στη συνέχεια προχωρά σε δεύτερο, πιο βαθύ πέρασμα. Αναζητά στο Gmail ή σε άλλο κεντρικό λογαριασμό του θύματος και, μέσα από αποδείξεις και ιστορικό παραγγελιών σε υπηρεσίες όπως το UberEats και το DoorDash, εξάγει στοιχεία για τον τόπο διαμονής και τις συνήθειές του.
Όλα τα ευρήματα συγκεντρώνονται σε έναν «φάκελο», που το Volta-Autodoxer αποστέλλει σε μοντέλα AI μέσω του OpenRouter, υπηρεσίας που προωθεί αιτήματα σε διάφορους παρόχους. Προεπιλεγμένο μοντέλο είναι το Claude Opus 4.6 της Anthropic. Οι δημιουργοί του φαίνεται ότι προέβλεψαν πως τα φίλτρα ασφαλείας μπορεί να μπλοκάρουν το αίτημα: σε αυτή την περίπτωση το λογισμικό στρέφεται στο Kimi K2 της κινεζικής Moonshot AI και, αν αποτύχει και εκεί, στο Gemini 2.5 Flash της Google.
Το prompt των 240 λέξεων
Το prompt που χρησιμοποιείται έχει 240 λέξεις, με κουκκίδες και αριθμημένη λίστα. Ζητά από το chatbot να υποδυθεί «ιατροδικαστικό αναλυτή πληροφοριών» και να συντάξει αξιολόγηση στόχου: σύνοψη για το πρόσωπο, επαγγελματική δραστηριότητα, εκτίμηση για το «πόσο αξίζει» και για το πόσο προσεκτικό είναι σε θέματα ψηφιακής ασφάλειας. Του ζητά επίσης να «ενώνει τις τελείες», για παράδειγμα να ελέγχει αν ο κωδικός του Wi-Fi ταιριάζει με το επώνυμο του θύματος.
«Ζητά από το μοντέλο να λειτουργήσει σαν αναλυτής πληροφοριών και να βγάλει δομημένη αξιολόγηση του θύματος, με παραπομπές», εξήγησε ο Ryan Fetterman, ερευνητής ασφαλείας της Cisco Talos. Όπως ανέφερε, το prompt είναι γραμμένο προσεκτικά ώστε να μη φαίνεται ξεκάθαρα κακόβουλο. Χωρίς την AI, το Volta-Autodoxer λειτουργεί κανονικά ως κλασικό infostealer.
Άγνωστη η χρήση σε πραγματικές επιθέσεις
Δεν είναι γνωστό αν το λογισμικό έχει χρησιμοποιηθεί σε πραγματικές επιθέσεις. Η Cisco Talos το εντόπισε μέσω του νέου συστήματός της CAIRN, που αναζητά εργαλεία hacking με ενσωματωμένη τεχνητή νοημοσύνη, αλλά δεν παρακολούθησε τη δράση του στην πράξη. Ο Fetterman διακρίνει ενδείξεις ότι δημιουργήθηκε για να πωληθεί σε πολλούς επιτιθέμενους και όχι για μία συγκεκριμένη ομάδα.
Το όφελος για τους επιτιθέμενους είναι η ταχύτητα. Τα tokens λήγουν και οι κωδικοί αλλάζουν, οπότε όποιος ξεχωρίζει νωρίτερα τους πολύτιμους στόχους προλαβαίνει να αξιοποιήσει τα κλεμμένα στοιχεία. «Βλέπουμε πιο προηγμένες δυνατότητες να γίνονται προσβάσιμες σε λιγότερο έμπειρους επιτιθέμενους», σημείωσε ο Fetterman.
Το εύρημα εντάσσεται σε ευρύτερη τάση: οι ερευνητές καταγράφουν όλο και περισσότερους χάκερ που χρησιμοποιούν μεγάλα γλωσσικά μοντέλα για τη συγγραφή κώδικα ή την ανάλυση κλεμμένων δεδομένων. Η CrowdStrike, για παράδειγμα, εντόπισε πρόσφατα τέσσερις ομάδες που δρουν σε κινεζικά, ισπανικά και αγγλικά, ινδονησιακά και ρωσικά και χρησιμοποιούν εργαλεία AI για να παραβιάσουν δεκάδες στόχους, από κυβερνητικούς φορείς έως εταιρείες υγείας, λιανικού εμπορίου και ταξιδιών.
