یک سارق‌اطلاعات ویندوزی جدید به نام VOLTA-AUTODOXER با یک تحلیل‌گر هوش مصنوعی زاینده (Generative AI) داخلی عرضه می‌شود که قبل از آنکه عامل انسانی هرگز دزدی‌ها را ببیند، هر قربانی را بر اساس پتانسیل درآمدی رتبه‌بندی می‌کند. محققان تالوس (Talos) دریافتند که بدافزار یک بسته مدرک ساختاری را به اوپن‌رایتر (OpenRouter) POST کرده و از طریق سه مدل متفاوت — کلاد اپوس ۴.۶ (Claude Opus 4.6)، کیمی کی۲ (Kimi K2) و جمینای ۲.۵ فلش (Gemini 2.5 Flash) — چرخش می‌کند تا یکی پرونده هدف قیمتی تولید کند.
سارق‌اطلاعات‌ها (infostealers) از دیرباز ابزارهای کالا (commodity) بوده‌اند: یک سازنده (builder) خریداری می‌شود، یک کانال تلگرام پیکربندی می‌شود، باینری‌ها پخش می‌شوند و لاگ‌ها به‌صورت دستی مرتب می‌شوند. گلوگاه عملیاتی همیشه تریاژ (triage) بوده — عامل‌های انسانی غرق در انبارهای اعتبار باید تصمیم بگیرند کدام قربانی‌ها برای پیگیری شایسته‌اند. VOLTA این گلوگاه را با تفویض کار تحلیلی به یک LLM از بین می‌برد، الگویی که تالوس پیش‌تر در کمپین CLOSEDQUORUM مشاهده کرده بود اما اکنون در فاز پس از استغلال (post-exploitation) به کار رفته است. این رویکرد به تریزای هوشمندانه در تریاژ قربانی‌ها شباهت دارد که ربات‌های Apate با شبیه‌سازی قربانیان ایده‌آل برای هدر دادن منابع کلاهبرداران به کار می‌روند.
بدافزار به‌عنوان یک محصول سازنده (builder product) با شش یافتی پیکربندی قابل تعویض که در زمان کامپایل پر می‌شوند، تحویل داده می‌شود — نشانه‌ای از مدل تجاری بدافزار (crimeware) نه یک ایمپلنت (implant) سفارشی. هیچ زیرساخت مهاجم‌مالک در زنجیره ظاهر نمی‌شود؛ خروجی داده (exfiltration) بر اتصال خود قربانی به اوپن‌رایتر (OpenRouter) و تلگرام سوار می‌شود. این طراحی کف عملیاتی برای خریداران را پایین می‌آورد در حالی که سقف تعداد زاژی‌ها که یک عامل واحد می‌تواند درآمدی کند را بالا می‌برد.
با تکیه بر پوشش پیشین ما از بدافزارهای کمک‌یافته با هوش مصنوعی، VOLTA نخستین مورد مستند است که در آن مدل به‌عنوان یک تحلیل‌گر اطلاعاتی پزشکی (forensic intelligence analyst) عمل می‌کند، نه مولد کد یا کمک‌کننده مبهم‌سازی. پرامپت سیستمی (system prompt) به‌صورت صریح به مدل دستور می‌دهد که «به‌عنوان یک تحلیل‌گر اطلاعاتی پزشکی تهیه‌کننده ارزیابی هدف عمل کند» و یک بخش «WHAT THEY'RE WORTH» با سطوح درآمدی پایین/متوسط/بالا تقاضا می‌کند. استفاده از کلاد در زنجیره مدل VOLTA، یادآور تلاش‌های اخیر آنتروپیک برای مسدودسازی سرقت توکن reasoning کلاد است.
گستره جمع‌آوری فراتر از سارق‌اطلاعات‌های کالا
VOLTA رمزهای عبور مرورگر، کوکی‌ها و کارت‌های پرداخت را در کرومیوم (Chromium) و فایرفاکس (Firefox)، پروفایل‌های آوتلوک (Outlook)، فضای‌های کاری اسلک (Slack)، جلسات استیم (Steam) و باتل.نت (Battle.net)، توکن‌های دیسکورد (Discord)، جلسات تلگرام، حساب‌های رابلاکس (Roblox)، کلیدهای SSH و پیکربندی‌های ارائه‌دهنده ابری (gcloud، OpenVPN، Hide.me) جمع‌آوری می‌کند. همچنین یک کرکر (cracker) داخلی در برابر ذخیره‌های کیف پول ارز دیجیتال به‌صورت خطی (inline) اجرا می‌کند و نتایج را در خط «WALLET VAULTS CRACKED» گزارش خود می‌نویسد. هر رمز عبور وای‌فای ذخیره‌شده از طریق WlanGetProfileList استخراج و به متن ساده (plaintext) ریخته می‌شود.
غنی‌سازی زنده از جلسات دزدیده‌شده
پس از جمع‌آوری اولیه، VOLTA از توکن‌های جلسه دزدیده‌شده برای عمیق‌تر کردن پروفایل قربانی استفاده می‌کند. از جیمیل (Gmail) قربانی از طریق توکن‌های OAuth برای رسیدهای آمازون (Amazon)، دوردش (DoorDash)، اوبر ایتس (Uber Eats)، گرب‌هاب (Grubhub)، والمارت (Walmart) و پی‌پال (PayPal) پرس‌وجو می‌کند تا آدرس منزل تایید شود. جلسات دزدیده‌شده اوبر ایتس و دوردش مستقیماً برای تاریخ سفارش فراخوانی می‌شوند. توکن دیسکورد پروفایل حساب را غنی می‌کند و موجودی رابلاکس از طریق جست‌وجوی زنده در Rolimons.com ارزیابی می‌شود.
بسته مدرک ساختاری تغذیه‌کننده هوش مصنوعی
بدافزار یک «Identity_Report.txt» حاوی موقعیت جغرافیایی، آدرس منزل، کارفرما و دامنه، سال تولد استنباط‌شده، ارقام آخر کارت، فضای‌های کاری اسلک، متادیتای نگارش سند، نشانگرهای بک‌آپ آیفون و ارزیابی زنده رابلاکس را مونتاژ می‌کند. این بسته به‌صورت JSON سریال‌سازی شده و تحت یک پرامپت سیستمی (system prompt) که یک ارزیابی تحلیلی مختصر با استنادات قابل ردیابی (auditable citations) می‌خواهد، به اوپن‌رایتر (OpenRouter) POST می‌شود.
زنجیره بازگشت چندمدلی پیش‌بینی‌کننده انکارها
زنجیره مدل هاردکدشده — anthropic/claude-opus-4.6 → moonshotai/kimi-k2 → google/gemini-2.5-flash — نشان می‌دهد عامل انتظار دارد با نرده‌های ایمنی (guardrails) مواجه شود. VOLTA هر پاسخ را برای عبارت‌های انکار مانند «I can't» یا «I'm not able» بررسی کرده و در صورت وجود به مدل بعدی بازمی‌گردد (failover). دما (temperature) روی ۰.۲ قفل شده برای خروجی قطعی و سازگار. درخواست JSON دستی‌ساز شده از هیچ SDK ای استفاده نمی‌کند و یک User-Agent موزیلا (Mozilla) عمومی می‌فرستد.
خروجی داده در سه آرشیو مرحلہ‌ای
VOLTA سه فایل زیپ جداگانه تولید می‌کند: «volta_log.zip» پس از اجرای سارق، «volta_dox.zip» پس از تکمیل فراخوانی هوش مصنوعی، و «volta_doxnet.zip» اگر غنی‌سازی شبکه داده اضافه بدهد. دور استنتاج (inference round-trip) کاملاً روی ماشین قربانی از طریق اتصال شبکه خود قربانی اتفاق می‌افتد قبل از اینکه هر نتیجه‌ای میزبان را ترک کند.
مدل سازنده با رمزنگاری ضعیف
یافتی‌های پیکربندی برای کانال تلگرام، کلیدهای API و تنظیمات با کلیدی مشتق شده از SHA-256 دو ثابت در همان باینری رمزنگاری شده‌اند. تالوس یادآور می‌شود این هیچ حفاظت واقعی ارائه نمی‌دهد — هر کسی که فایل را معکوس‌سازی (reverse engineering) کند می‌تواند اعتبارها را بازیابی کند — اما انتظار مشتری‌ها را که کلیدها در متن ساده (plaintext) نباشند برآورده می‌کند. رویکرد قالب (template) مدل تجاری سازنده را تایید می‌کند: نویسنده دسترسی می‌فروشد، مشتریان مقادیر را تأمین می‌کنند و یک باینری سفارشی برای هر سفارش کامپایل می‌شود.
خودحذف و مصنوع پزشکی
فایل اجرایی اصلی پس از اجرا خود را حذف می‌کند، اما یک لاگ اشکال‌زدایی در «%APPDATA%\volta_debug.txt» با ثبت زمانی برداشت (timestamped harvest record) باقی می‌ماند که دقیقاً نشان می‌دهد چه چیزی جمع‌آوری شده و آیا فراخوانی LLM موفق بوده است. این مصنوع برای پاسخ به حادثه (incident response) حیاتی است.
تدابیر مقابله هدف‌گذاری دور زدن ABE
دزدیدن توکن توسط VOLTA به دور زدن رمزگذاری وابسته به برنامه (App-Bound Encryption - ABE) کروم با پرچم --headless متکی است. یک سیاست کنترل برنامه (application control policy) که محدود می‌کند کدام پروسه‌ها می‌توانند کروم را با --headless راه‌اندازی کنند، مسیر رمزگشایی را به‌طور کامل مسدود می‌کند. در حداقل، دفاع‌کنندگان باید بر هر پروسه غیرتوسعه‌دهنده‌ای که کروم را در حالت headless زاده می‌کند، هشدار دهند. ذخیره‌های اعتبار سخت‌افزاری (hardware-backed credential stores) و انقضای فوری توکن پس از تهاجم بهترین شیوه‌ها باقی می‌مانند.
معماری VOLTA بلوغ در یکپارچه‌سازی هوش مصنوعی در بدافزار را نشان می‌دهد. محور بهبود سرعت یا مقیاس نیست، بلکه جابجایی تلاش (effort displacement) است — شناسایی گامی که بیشترین توجه انسانی مداوم را می‌طلبد (تریاژ) و جایگزینی آن با یک فراخوانی مدل. این منطق CLOSEDQUORUM را بازتاب می‌دهد اما در فاز عملیاتی متفاوتی. برای دفاع‌کنندگان، الگو نشان می‌دهد هوش مصنوعی به‌تدریج لایه‌های تحلیلی گردش‌کارهای سایبری جرم را جذب خواهد کرد، نه فقط لایه‌های مکانیکی.
زنجیره بازگشت چندمدلی نیز به‌اندازه مساوی مهم است. با هاردکد کردن یک خط لوله مقاوم در برابر انکار از یک مدل مرزی (frontier model) (کلاد) از طریق جایگزین‌های کوچک‌تر و مجازتر (کیمی، جمینای)، نویسنده نرده‌های ایمنی مدل را به‌عنوان یک محدودیت مهندسی پیش‌بینی‌شده نه یک ناهنجاری می‌پردازد. همان‌طور که یکپارچه‌سازی هوش مصنوعی در بدافزار بلوغ می‌یابد، تاب‌آوری انکار (refusal resilience) ممکن است به یک شرط طراحی استاندارد در کنار ماندگاری (persistence) و فرار (evasion) تبدیل شود.
پرسش باز این است که آیا جابجایی تلاش به‌معنای تغییر منظر تهدید است. سایبرجرم همیشه فرصت‌طلب با یک نوار هوشمندی پایین‌تر از حد فرض بوده، اما تفاوتی بین یک تور گسترده و یک تور گسترده است که خود را مرتب می‌کند. VOLTA نشان می‌دهد بدافزار کالا اکنون می‌تواند با یک تحلیل‌گر داخلی عرضه شود، کف مهارت برای هدف‌گیری سودآور را پایین آورد در حالی که حجم اطلاعات قابل اقدام در هر زاژی را افزایش می‌دهد.
برای انتقال این الگوی تریاژ به مراحل لودر (loader) و رنسوم‌ویر (ransomware) که بازده هر تصمیم در آنجا بالاتر است، نظارت کنید. دفاع‌کنندگان باید اولویت را با سیاست‌های کنترل برنامه که راه‌اندازی‌های غیرمجاز کروم headless را مسدود می‌کنند و هر بذر (seed phrase) یافت شده روی دیسک را به‌عنوان یک کیف پول کاملاً تهاجم‌شده تلقی می‌کنند، قرار دهند.
گام بعدی شما
- سیاست کنترل برنامه را برای مسدود کردن راه‌اندازی کروم با پرچم --headless توسط پروسه‌های غیرمجاز پیاده‌سازی کنید
- هر بذر بازیابی (seed phrase) یا کلید خصوصی یافت‌شده روی دیسک را به‌عنوان تهاجم کامل کیف پول در نظر بگیرید و بلافاصله انقضا/چرخش کنید
- لاگ‌های اشکال‌زدایی VOLTA در «%APPDATA%\volta_debug.txt» را به‌عنوان نشانگر تهاجم (IOC) در جست‌وجوی تهدید (threat hunting) اضافه کنید
گفتگو