Cisco Talos تكشف تفاصيل مرحلة ترتيب الضحايا في برمجية VOLTA لسرقة المعلومات باستخدام نماذج اللغة الكبيرة

نشر الباحث في Cisco Talos، Ryan Fetterman، في 31 أكتوبر 2026 تحليلاً لبرمجية VOLTA-AUTODOXER، وهي برمجية لسرقة المعلومات على Windows تحذف نفسها، وتُتبع مرحلة واسعة لسرقة بيانات الاعتماد بمرحلة تستخدم نموذج لغة كبيراً لترتيب الأصول التي يمكن تسييلها لدى كل ضحية.

تصف Talos برمجية VOLTA بأنها زرعة ناضجة لسرقة المعلومات، مزودة بطبقة اختيارية للتكامل مع الذكاء الاصطناعي، وتشير إلى أن كل نقطة نهاية رُصدت خاضعة لسيطرة طرف ثالث، من دون أي بنية تحتية يملكها المهاجم. وترى Talos أن حداثة مرحلة الذكاء الاصطناعي تكمن في أن النموذج يعمل محللاً استخباراتياً بالنيابة عن المشغّل، لا أداةً لدعم وظيفة تقليدية للبرمجيات الخبيثة؛ إذ يحوّل سجلاً خاماً لبيانات الاعتماد إلى ملف معلومات عن الضحية، مرتب حسب الأولوية ومدعوم باستشهادات، ويحدد أصولها القابلة للتسييل.

ظهرت البرمجية الخبيثة ضمن جهود CAIRN البحثية التي تقودها Talos. وأطلقت Talos مشروع CAIRN، وهو Cognitive Artifact Intelligence Research Network، وأتاحته مفتوح المصدر في 22 سبتمبر 2026، بوصفه مجموعة أدوات لاكتشاف البرمجيات الخبيثة المتكاملة مع الذكاء الاصطناعي وتصنيفها وتتبعها عبر آثار البيانات الوصفية، مثل المطالبات المضمّنة ونقاط نهاية مزوّدي الخدمات ومفاتيح API، من دون تنزيل الملفات التنفيذية الأساسية أو تشغيلها. وقالت Talos عند إطلاق المشروع إنها ستنشر نتائجها الأولية بمرور الوقت، بدءاً من CLOSEDQUORUM، وهي زرعة وصفتها بأنها منسّق إجماع مستقل بالكامل ومتعدد النماذج، لا يتطلب مشغّلاً بشرياً.

جمع البيانات وإثراء الجلسات

تستخرج عملية تشغيل واحدة لبرمجية VOLTA بيانات اعتماد المتصفح وملفات تعريف الارتباط وبطاقات الدفع المحفوظة من المتصفحات المبنية على Chromium، إلى جانب بيانات Firefox وThunderbird، وملفات تعريف Outlook، ومساحات عمل Slack، وجلسات Steam وBattle.net، ورموز Discord، وجلسات Telegram، وحسابات Roblox، ورموز Microsoft OAuth، وملفات تهيئة SSH ومزوّدي الخدمات السحابية الخاصة بكل من gcloud وOpenVPN وHide.me، وملفات تعريف Wi-Fi، ولقطات الشاشة. وبدلاً من الاكتفاء بنسخ محافظ العملات المشفرة، تشغّل البرمجية أداة لفك كلمات المرور مضمنة فيها على خزنة المحفظة خلال العملية نفسها، وتسجل النتيجة في سطر WALLET VAULTS CRACKED في تقريرها. كما يستخرج استدعاء مباشر للدالة WlanGetProfileList كل كلمات مرور Wi-Fi المحفوظة على الجهاز بصيغة نصية واضحة.

ثم تعيد مرحلة إثراء مباشرة استخدام الجلسات المسروقة. وتبحث VOLTA في صندوق الوارد، باستخدام رموز Gmail الموثّقة الخاصة بالضحية، عن إيصالات من Amazon وDoorDash وUber Eats وGrubhub وWalmart وPayPal للتحقق من عنوان منزلها. كما تستخرج مباشرة سجل الطلبات من Uber Eats وDoorDash، وتثري ملف الضحية على Discord باستخدام الرمز المسروق، وتقدّر قيمة مخزونها في Roblox من خلال استعلام مباشر على Rolimons.com. وتُجمع المواد التي حُصّلت محلياً في حزمة أدلة منظّمة تتضمن الموقع الجغرافي وعنوان المنزل، وجهة العمل ونطاقها، وسنة الميلاد المستنتجة، وآخر أربعة أرقام من البطاقة، ومساحات عمل Slack، وبيانات وصفية عن مؤلفي المستندات، ومؤشرات على وجود نسخ احتياطية لجهاز iPhone؛ ثم تُحفظ باسم Identity_Report.txt وتُحوّل إلى JSON.

يُحفظ التقييم الذي يعيده النموذج باسم AI_Analysis.txt، ويمكن أن تتم عملية تسريب البيانات عبر ثلاثة أرشيفات تُنشأ على مراحل: volta_log.zip بعد تشغيل برمجية سرقة المعلومات، وvolta_dox.zip بعد استدعاء الذكاء الاصطناعي، وvolta_doxnet.zip إذا أسفر إثراء البيانات عبر الشبكة عن أي نتائج.

مرحلة الترتيب عبر OpenRouter

تُرسل الحزمة المتسلسلة عبر طلب POST إلى نقطة نهاية إكمال المحادثات في OpenRouter، مع مطالبة نظامية توجه النموذج إلى التصرف بصفته «محللاً استخباراتياً جنائياً يصوغ تقييماً لهدف». ويتضمن الناتج المطلوب قسماً بعنوان WHAT THEY’RE WORTH يرتب مقتنيات الضحية بحسب قيمتها عند تسييلها ضمن فئات منخفضة ومتوسطة وعالية، وقسماً بعنوان THEIR OPSEC يقيّم وضع الضحية الأمني وممارساتها في إنشاء كلمات المرور. كما تحث المطالبة النموذج على الربط بين نقاط بيانات شحيحة، كربط اسم الضحية أو عنوانها أو جامعتها بأنماط كلمات مرورها. وتشير Talos إلى أن المطلوب من النموذج ليس العثور على البيانات بقدر ما هو استنتاج معلومات توسّع قيمة ما جُمع مسبقاً.

تستخدم التهيئة الثابتة anthropic/claude-opus-4.6 نموذجاً افتراضياً، مع سلسلة احتياطية تبدأ بـ moonshotai/kimi-k2 ثم google/gemini-2.5-flash، ودرجة حرارة تبلغ 0.2، وطلبات JSON مُعدّة يدوياً من دون SDK، مع وكيل مستخدم Mozilla/5.0. وتقول Talos إن انخفاض درجة الحرارة يوحي بأن المشغّل يعطي الأولوية للدقة والاتساق، وتصف السلسلة المتعاقبة بأنها انتقال إلى نماذج أصغر وأكثر تساهلاً عند حدوث حالات رفض.

تتحقق VOLTA من كل استجابة للنموذج بحثاً عن عبارات الرفض، مثل «لا أستطيع»، قبل الانتقال إلى النموذج التالي في سلسلة يصل عدد نماذجها إلى ثلاثة، ويمكنها العمل من دون مرحلة نموذج اللغة الكبير كلياً إذا لم يتوفر مفتاح API. وتُنفّذ دورة الاستدلال كاملة على جهاز الضحية، عبر اتصال الشبكة الخاص بها؛ ولا تُسرّب النتيجة إلا بعد ذلك.

النشر عبر أداة البناء والتدابير المضادة

بدلًا من تضمين قناة Telegram ومفاتيح API والإعدادات في الشيفرة مباشرة، يُجمَّع VOLTA انطلاقًا من قالب يحتوي على ست خانات قابلة للتبديل، تُملأ عند البناء. ويقول Talos إن هذا يشير إلى نموذج يعتمد على أداة بناء، يبيع فيه المؤلف إمكانية الوصول، ويقدّم المشترون قيمهم الخاصة، ثم تُجمَّع نسخة تنفيذية مخصصة لكل طلب. وتشير التحليلات إلى أنه إذا صحّ هذا النموذج، فإن الملف الاستخباراتي المدعوم بالذكاء الاصطناعي ميزة تجارية تتيح لأي عميل، مهما كان مستوى خبرته، تلقي تقييمات مرتبة للأهداف في صندوق وارد على Telegram، وليس قدرة طوّرها المؤلف للاستخدام الشخصي. وتُشفَّر بيانات اعتماد الخانات بمفتاح مشتق من تطبيق SHA-256 على ثابتين موجودين في الملف التنفيذي نفسه. ويقول Talos إن ذلك لا يوفر حماية فعلية تُذكر، إذ يمكن لأي شخص يعكس هندسة الملف استعادة تلك الثوابت.

يعتمد جانب كبير من سرقة الرموز في VOLTA على تجاوز App-Bound Encryption في Chrome. ويقول Talos إن وضع سياسة للتحكم في التطبيقات تقيّد العمليات المسموح لها بتشغيل Chrome باستخدام خيار headless سيمنع مسار فك التشفير هذا بالكامل. ويوصي، كحد أدنى، بإطلاق تنبيه عندما يُشغَّل Chrome في وضع headless من عملية غير متوقعة، إلى جانب تخزين بيانات الاعتماد المدعوم بالأجهزة. وبعد الاختراق، ينصح Talos بالاحتفاظ بملف volta_debug.txt، وهو سجل مؤرخ لعملية جمع البيانات يوثّق بدقة ما جُمع وما إذا نجح استدعاء LLM، ثم إلغاء الرموز التي يُحتمل أن تكون قد تعرضت للاختراق وتغيير كلمات المرور. وينبغي التعامل مع أي محفظة حُفظت عبارة الاسترداد الخاصة بها بنص عادي على القرص على أنها مخترقة بالكامل، ونقل الأموال إلى محفظة جديدة تُنشأ عبارة الاسترداد الخاصة بها على جهاز معزول عن الشبكات.

بحسب طرح Talos، يتمثل التحسين الذي تضيفه طبقة الذكاء الاصطناعي في نقل الجهد، لا في زيادة السرعة أو النطاق؛ وهو المنطق الأساسي نفسه الذي رصده Talos في CLOSEDQUORUM، لكن مطبق على مرحلة مختلفة من العملية. وتخلص التحليلات إلى أن مقاومة الرفض قد تصبح متطلبًا تصميميًا قياسيًا مع نضوج دمج الذكاء الاصطناعي في البرمجيات الخبيثة.

يُدرج Talos العينة التي حللها على أنها ملف تنفيذي PE32+ x86-64، يحمل تجزئة SHA-256 التالية: 57ef4242666d78c50df145b34023df564f0fad38812d6a580e66433d427e2279، وقد رُصد بالاسمين 9BY0tjwOc3ut.exe وyLP9m5J3i2Aw.exe، ويحمل طابعًا زمنيًا لملف PE بتاريخ 17 أغسطس 2026، وقد رُصد للمرة الأولى عند 12:46 UTC في 11 أكتوبر 2026.