От кражи данных к оценке добычи

Обычно инфостилер действует как цифровой пылесос: извлекает из компьютера пароли, cookies, данные банковских карт, токены авторизации, ключи и файлы конфигурации. Но сама по себе такая выгрузка ещё не говорит преступнику, какая учётная запись принесёт больше денег.

Образец Windows-вредоноса VOLTA добавляет к этой схеме отдельный аналитический этап. Исследователи Cisco Talos описали программу, которая собирает данные о пользователе, формирует из них локальные файлы и передаёт содержимое языковой модели через OpenRouter. Модель должна оценить активы жертвы, их потенциальную денежную ценность и уровень защищённости.

Это важная оговорка: языковая модель не взламывает компьютер и не добывает секреты самостоятельно. К моменту обращения к ней данные уже украдены. LLM используется как инструмент сортировки и интерпретации — примерно так, как раньше это делал бы сотрудник преступной команды.

Метафорическая схема: украденные цифровые данные проходят через аналитический фильтр языковой модели
Иллюстрация: ИИ

Что именно собирает VOLTA

По описанию исследователей, инфостилер нацелен не только на сохранённые пароли браузера. В перечень добычи входят:

  • cookies и активные сессии;
  • сохранённые платёжные карты;
  • Microsoft OAuth-токены;
  • SSH-ключи;
  • конфигурации облачных сервисов;
  • данные криптовалютных кошельков;
  • игровые аккаунты;
  • сохранённые Wi-Fi-пароли.

Отдельно программа пытается обогатить профиль пользователя. Она ищет в почте чеки, заказы и сведения о доставках, анализирует данные Discord и другие цифровые следы. В результате оператор получает не просто архив с файлами, а более связную картину: имя человека, возможный адрес, работодателя, платёжные признаки, облачные доступы и признаки наличия ценных аккаунтов.

Для преступника это меняет качество работы. Набор cookies от неизвестного пользователя может казаться малозначимым. Но если автоматический анализ связывает их с корпоративной почтой, облачной инфраструктурой или криптокошельком, такая жертва получает более высокий приоритет.

Абстрактная композиция из цифровых следов, которые складываются в профиль пользователя
Иллюстрация: ИИ

LLM как дешёвый аналитик

В исследованном образце упоминаются Claude Opus 4.6, Kimi K2 и Gemini 2.5 Flash. Программа может переключаться между моделями, если одна из них отказывается отвечать или выдаёт слишком короткий результат. Отчёт сохраняется вместе с остальной добычей и затем отправляется оператору через Telegram.

Экономический смысл схемы очевиден. Киберпреступнику не обязательно вручную просматривать каждый архив и разбираться в десятках форматов данных. Часть рутинной работы можно делегировать API языковой модели. Даже если результат далёк от идеального, автоматическая предварительная сортировка способна сократить время до решения: какую учётную запись атаковать первой, что продать отдельно, а что оставить без внимания.

При этом AI-этап в VOLTA не является обязательным. Если ключ OpenRouter не задан, вредоносная программа может продолжать красть и передавать данные без обращения к модели. Поэтому блокировка одного сервиса не устраняет основную угрозу — она может лишь лишить преступника автоматического отчёта.

Почему не стоит преувеличивать масштаб

Исследователи описали конкретный образец вредоносной программы, а не доказали существование массовой кампании. Пока не подтверждены масштабы распространения VOLTA, число пострадавших, наличие определённой преступной группировки или успешное применение AI-отчётов в реальных кражах.

Корректнее воспринимать VOLTA как демонстрацию возможной архитектуры атаки. Её новизна не в том, что преступники впервые применили автоматизацию, а в том, что украденные данные пытаются сразу превратить в коммерческий скоринг. Если такой подход станет обычным, ценность инфостилеров будет определяться не только объёмом добычи, но и способностью быстро отделять перспективные цели от бесполезных.

Есть и практическое ограничение: языковая модель может ошибаться, неправильно связывать сведения или переоценивать найденные признаки. Однако для атакующего даже неточный предварительный рейтинг может быть полезен, если он снижает объём ручной работы.

Что проверить бизнесу

Главный вывод для компаний: пароль — только один из элементов доступа. После заражения устройства недостаточно просто изменить его. Украденные cookies, refresh-токены и OAuth-сессии могут продолжать действовать независимо от нового пароля.

При подозрении на инфостилер приоритет действий должен быть таким:

  1. Отозвать активные сессии и токены в корпоративных сервисах.
  2. Перевыпустить API-ключи, SSH-ключи и другие секреты, которые могли храниться на устройстве.
  3. Затем изменить пароли и проверить повторное использование скомпрометированных комбинаций.
  4. Проверить правила пересылки почты, новые OAuth-приложения, устройства и подозрительные входы.
  5. Проанализировать браузерные хранилища, каталоги с архивами данных и каналы передачи информации.
Защитный экран вокруг устройства и отозванные цифровые ключи доступа
Иллюстрация: ИИ

Для мониторинга полезно обращать внимание на запуск headless-браузеров процессами, не связанными с тестированием, необычные обращения к OpenRouter и неожиданные выгрузки в Telegram. Но эти признаки нельзя считать единственным критерием: вредоносная программа может отключить AI-модуль и продолжить кражу по старой схеме.

Вывод

VOLTA показывает потенциальный сдвиг в экономике кибератак: языковая модель становится не взломщиком, а недорогим аналитиком украденной информации. Она помогает связать разрозненные следы и определить, какие аккаунты могут быть наиболее интересны оператору.

Пока нет оснований говорить о массовом использовании такой схемы. Но сам принцип достаточно практичен, чтобы учитывать его при защите: ценными являются не только пароли, но и активные сессии, OAuth-токены, SSH-ключи, браузерные хранилища и письма с финансовыми следами. Именно эти данные могут превратить обычную кражу информации в прицельную атаку на бизнес или конкретного человека.