Η Cisco Talos αποκαλύπτει το στάδιο κατάταξης θυμάτων μέσω LLM του infostealer VOLTA

Ο ερευνητής της Cisco Talos Ryan Fetterman δημοσίευσε στις 31 Οκτωβρίου 2026 μια ανάλυση του VOLTA-AUTODOXER, ενός infostealer για Windows που αυτοδιαγράφεται και, μετά από μια εκτεταμένη διαδικασία κλοπής διαπιστευτηρίων, περνά σε ένα στάδιο χρήσης μεγάλου γλωσσικού μοντέλου, σχεδιασμένο να κατατάσσει τα περιουσιακά στοιχεία κάθε θύματος που μπορούν να αποφέρουν έσοδα.

Η Talos περιγράφει το VOLTA ως ένα εξελιγμένο εμφύτευμα κλοπής δεδομένων με προαιρετικό επίπεδο ενσωμάτωσης τεχνητής νοημοσύνης και αναφέρει ότι όλα τα τελικά σημεία που έχουν εντοπιστεί ελέγχονται από τρίτους, χωρίς υποδομές που ανήκουν στους επιτιθέμενους. Κατά την εκτίμηση της Talos, η καινοτομία του σταδίου τεχνητής νοημοσύνης έγκειται στο ότι το μοντέλο λειτουργεί ως αναλυτής πληροφοριών για λογαριασμό του χειριστή, αντί να υποστηρίζει μια παραδοσιακή λειτουργία κακόβουλου λογισμικού: μετατρέπει ένα ακατέργαστο αρχείο καταγραφής διαπιστευτηρίων σε έναν ιεραρχημένο φάκελο με τα περιουσιακά στοιχεία του θύματος που μπορούν να αποφέρουν έσοδα, τεκμηριωμένο με παραπομπές.

Το κακόβουλο λογισμικό εντοπίστηκε στο πλαίσιο της ερευνητικής προσπάθειας CAIRN της Talos. Στις 22 Σεπτεμβρίου 2026, η Talos κυκλοφόρησε ως ανοικτού κώδικα το CAIRN, το Cognitive Artifact Intelligence Research Network, ένα σύνολο εργαλείων για τον εντοπισμό, την ταξινόμηση και την παρακολούθηση κακόβουλου λογισμικού που ενσωματώνει τεχνητή νοημοσύνη, μέσω μεταδεδομένων όπως ενσωματωμένες προτροπές, διευθύνσεις τελικών σημείων παρόχων και κλειδιά API, χωρίς να απαιτείται λήψη ή εκτέλεση των υποκείμενων δυαδικών αρχείων. Κατά την κυκλοφορία του, η Talos ανέφερε ότι θα δημοσίευε σταδιακά τα αρχικά ευρήματά της, ξεκινώντας με το CLOSEDQUORUM, ένα εμφύτευμα που περιέγραψε ως πλήρως αυτόνομο ενορχηστρωτή συναίνεσης πολλαπλών μοντέλων, χωρίς ανθρώπινο χειριστή.

Συλλογή δεδομένων και εμπλουτισμός συνεδριών

Σε μία μόνο εκτέλεση, το VOLTA συλλέγει διαπιστευτήρια προγράμματος περιήγησης, cookie και αποθηκευμένα στοιχεία καρτών πληρωμής από προγράμματα περιήγησης που βασίζονται στο Chromium, καθώς και δεδομένα από Firefox και Thunderbird, προφίλ Outlook, χώρους εργασίας Slack, συνεδρίες Steam και Battle.net, διακριτικά Discord, συνεδρίες Telegram, λογαριασμούς Roblox, διακριτικά OAuth της Microsoft, αρχεία ρυθμίσεων SSH και παρόχων υπηρεσιών cloud για τα gcloud, OpenVPN και Hide.me, προφίλ Wi-Fi και στιγμιότυπα οθόνης. Αντί να αντιγράφει απλώς πορτοφόλια κρυπτονομισμάτων, το κακόβουλο λογισμικό εκτελεί, κατά την ίδια διαδικασία, ένα ενσωματωμένο εργαλείο αποκρυπτογράφησης στο θησαυροφυλάκιο του πορτοφολιού και καταγράφει το αποτέλεσμα σε μια γραμμή WALLET VAULTS CRACKED στη δική του αναφορά. Μια απευθείας κλήση της WlanGetProfileList εξάγει σε απλό κείμενο όλους τους αποθηκευμένους κωδικούς πρόσβασης Wi-Fi στον υπολογιστή.

Στη συνέχεια, μια ζωντανή διαδικασία εμπλουτισμού επαναχρησιμοποιεί τις κλεμμένες συνεδρίες. Με τα αυθεντικοποιημένα διακριτικά Gmail του ίδιου του θύματος, το VOLTA αναζητά στα εισερχόμενα αποδείξεις από τις Amazon, DoorDash, Uber Eats, Grubhub, Walmart και PayPal, ώστε να επιβεβαιώσει μια διεύθυνση κατοικίας. Συλλέγει απευθείας το ιστορικό παραγγελιών από τις Uber Eats και DoorDash, εμπλουτίζει το προφίλ Discord του θύματος μέσω του κλεμμένου διακριτικού και αποτιμά τα αντικείμενα στο απόθεμα Roblox μέσω ζωντανής αναζήτησης στο Rolimons.com. Το υλικό που συλλέγεται συγκεντρώνεται τοπικά σε έναν δομημένο φάκελο αποδεικτικών στοιχείων, ο οποίος περιλαμβάνει γεωγραφική θέση και διεύθυνση κατοικίας, εργοδότη και τομέα του εργοδότη, εκτιμώμενο έτος γέννησης, τα τέσσερα τελευταία ψηφία της κάρτας, χώρους εργασίας Slack, μεταδεδομένα συγγραφής εγγράφων και ενδείξεις για αντίγραφα ασφαλείας iPhone. Έπειτα αποθηκεύεται ως Identity_Report.txt και σειριοποιείται σε JSON.

Η αξιολόγηση που επιστρέφει το μοντέλο αποθηκεύεται ως AI_Analysis.txt, ενώ η εξαγωγή δεδομένων μπορεί να γίνει σε τρία διαδοχικά αρχεία συμπίεσης: volta_log.zip μετά την εκτέλεση του infostealer, volta_dox.zip μετά την κλήση της τεχνητής νοημοσύνης και volta_doxnet.zip, εφόσον η εμπλουτισμένη αναζήτηση στο δίκτυο αποδώσει αποτελέσματα.

Το στάδιο κατάταξης μέσω OpenRouter

Το σειριοποιημένο σύνολο δεδομένων αποστέλλεται με αίτημα POST στο τελικό σημείο συνομιλιών OpenRouter, με μια προτροπή συστήματος που ζητά από το μοντέλο να ενεργήσει ως «αναλυτής εγκληματολογικών πληροφοριών που συντάσσει αξιολόγηση στόχου». Η απαιτούμενη έξοδος περιλαμβάνει μια ενότητα με τίτλο «Η ΑΞΙΑ ΤΟΥΣ», όπου τα πολύτιμα στοιχεία του θύματος κατατάσσονται ανάλογα με τη δυνατότητα αποκόμισης εσόδων σε χαμηλή, μεσαία και υψηλή κατηγορία, καθώς και μια ενότητα «Η ΑΣΦΑΛΕΙΑ ΤΟΥΣ», η οποία αξιολογεί την ασφάλεια του θύματος και την υγιεινή των κωδικών πρόσβασής του. Η προτροπή ωθεί επίσης το μοντέλο να συνδέσει περιορισμένα δεδομένα μεταξύ τους, για παράδειγμα να συσχετίσει το όνομα, τη διεύθυνση ή το πανεπιστήμιο ενός θύματος με μοτίβα στους κωδικούς πρόσβασής του. Η Talos επισημαίνει ότι δεν ζητείται από το μοντέλο τόσο να εντοπίσει δεδομένα όσο να εξαγάγει συμπεράσματα που αυξάνουν την αξία των πληροφοριών που έχουν ήδη συλλεχθεί.

Η ενσωματωμένη στη διαμόρφωση προεπιλεγμένη επιλογή μοντέλου είναι το anthropic/claude-opus-4.6, με εφεδρική αλυσίδα τα moonshotai/kimi-k2 και, στη συνέχεια, το google/gemini-2.5-flash, θερμοκρασία 0,2 και χειροκίνητα συνταγμένα αιτήματα JSON, χωρίς SDK και με User-Agent Mozilla/5.0. Η Talos αναφέρει ότι η χαμηλή θερμοκρασία υποδηλώνει πως ο χειριστής δίνει έμφαση στην ακρίβεια και τη συνέπεια, ενώ περιγράφει την αλυσιδωτή εναλλαγή ως μετάβαση σε μικρότερα και πιο επιτρεπτικά μοντέλα όταν προκύπτουν αρνήσεις.

Το VOLTA ελέγχει κάθε απάντηση μοντέλου για φράσεις άρνησης, όπως «Δεν μπορώ», πριν προχωρήσει στην επόμενη επιλογή μιας αλυσίδας έως και τριών μοντέλων, ενώ μπορεί να εκτελεστεί και χωρίς το στάδιο LLM, εάν δεν υπάρχει κλειδί API. Ολόκληρος ο κύκλος εξαγωγής συμπερασμάτων εκτελείται στον υπολογιστή του θύματος, μέσω της δικής του σύνδεσης δικτύου· το αποτέλεσμα εξάγεται μόνο μετά την ολοκλήρωσή του.

Ανάπτυξη μέσω builder και αντίμετρα

Αντί να ενσωματώνονται εκ των προτέρων στο VOLTA το κανάλι του στο Telegram, τα κλειδιά API και οι ρυθμίσεις του, το VOLTA μεταγλωττίζεται από ένα πρότυπο με έξι εναλλάξιμες θέσεις, οι οποίες συμπληρώνονται κατά τη δημιουργία του. Σύμφωνα με την Talos, αυτό παραπέμπει σε ένα μοντέλο κατασκευής στο οποίο ο δημιουργός πουλά πρόσβαση, οι αγοραστές παρέχουν τις δικές τους τιμές και για κάθε παραγγελία μεταγλωττίζεται ένα προσαρμοσμένο δυαδικό αρχείο. Αν ισχύει αυτό το μοντέλο, σημειώνει η ανάλυση, ο φάκελος πληροφοριών που συντάσσει η ΤΝ είναι εμπορικό χαρακτηριστικό που επιτρέπει σε πελάτες οποιουδήποτε επιπέδου τεχνικής εξοικείωσης να λαμβάνουν στο εισερχόμενό τους στο Telegram αξιολογήσεις στόχων ταξινομημένες κατά σειρά προτεραιότητας, αντί να πρόκειται για δυνατότητα που ο δημιουργός ανέπτυξε για προσωπική χρήση. Τα διαπιστευτήρια των θέσεων κρυπτογραφούνται με ένα κλειδί που παράγεται με την εφαρμογή του SHA-256 σε δύο σταθερές που περιέχονται στο ίδιο δυαδικό αρχείο. Σύμφωνα με την Talos, αυτό δεν παρέχει ουσιαστική προστασία, καθώς όποιος πραγματοποιήσει αντίστροφη μηχανική στο αρχείο μπορεί να ανακτήσει τις σταθερές.

Μεγάλο μέρος της κλοπής διακριτικών από το VOLTA βασίζεται στην παράκαμψη της κρυπτογράφησης App-Bound στο Chrome. Σύμφωνα με την Talos, μια πολιτική ελέγχου εφαρμογών που περιορίζει τις διεργασίες οι οποίες μπορούν να εκκινήσουν το Chrome με τη σημαία headless θα απέκλειε πλήρως αυτή τη διαδρομή αποκρυπτογράφησης. Ως ελάχιστο μέτρο, συνιστά να δημιουργούνται ειδοποιήσεις όταν το Chrome εκκινείται σε λειτουργία headless από μη αναμενόμενη διεργασία, καθώς και να χρησιμοποιείται αποθήκευση διαπιστευτηρίων με υποστήριξη υλικού. Μετά από παραβίαση, η Talos συνιστά τη διατήρηση του αρχείου volta_debug.txt, ενός αρχείου καταγραφής της συλλογής δεδομένων με χρονικές σημάνσεις, στο οποίο καταγράφονται ακριβώς τα δεδομένα που συλλέχθηκαν και αν η κλήση προς το LLM ήταν επιτυχής, και στη συνέχεια την ανάκληση των διακριτικών που ενδέχεται να έχουν παραβιαστεί και την αλλαγή των κωδικών πρόσβασης. Κάθε πορτοφόλι του οποίου η φράση ανάκτησης ήταν αποθηκευμένη σε απλό κείμενο στον δίσκο πρέπει να θεωρείται πλήρως παραβιασμένο, ενώ τα κεφάλαια πρέπει να μεταφερθούν σε νέο πορτοφόλι, του οποίου η φράση ανάκτησης έχει δημιουργηθεί σε συσκευή απομονωμένη από δίκτυα.

Σύμφωνα με την προσέγγιση της Talos, η βελτίωση που προσφέρει το επίπεδο ΤΝ αφορά τη μετατόπιση της απαιτούμενης προσπάθειας και όχι την ταχύτητα ή την κλίμακα — την ίδια υποκείμενη λογική που είχε εντοπίσει η Talos στο CLOSEDQUORUM, εφαρμοσμένη σε διαφορετική φάση της επιχείρησης. Καθώς η ενσωμάτωση της ΤΝ στο κακόβουλο λογισμικό εξελίσσεται, καταλήγει η ανάλυση, η ανθεκτικότητα απέναντι στις αρνήσεις μπορεί να καταστεί τυπική απαίτηση σχεδιασμού.

Η Talos αναφέρει ότι το δείγμα που αναλύθηκε είναι ένα δυαδικό αρχείο PE32+ x86-64 με κατακερματισμό SHA-256 57ef4242666d78c50df145b34023df564f0fad38812d6a580e66433d427e2279, το οποίο εντοπίστηκε με τα ονόματα αρχείων 9BY0tjwOc3ut.exe και yLP9m5J3i2Aw.exe, φέρει χρονοσήμανση PE της 17ης Αυγούστου 2026 και εντοπίστηκε για πρώτη φορά στις 12:46 UTC στις 11 Οκτωβρίου 2026.