Ερευνητές της Cisco Talos εντόπισαν το Volta-Autodoxer, ένα νέο infostealer που στέλνει τα κλεμμένα δεδομένα σε μοντέλα AI και φτιάχνει αυτόματα πλήρες προφίλ του θύματος.
Ερευνητές της Cisco Talos εντόπισαν το Volta-Autodoxer, ένα νέο infostealer που στέλνει τα κλεμμένα δεδομένα σε μοντέλα AI και φτιάχνει αυτόματα πλήρες προφίλ του θύματος. Το όνομα το πήρε από τον τρόπο που αυτοαποκαλείται μέσα στον κώδικά του.
Τα infostealer κρύβονται συνήθως σε ψεύτικο λογισμικό και μαζεύουν ονόματα χρήστη, κωδικούς, tokens, cookies και στοιχεία καρτών. Με τέτοια στοιχεία έγιναν μερικές από τις μεγαλύτερες διαρροές των τελευταίων ετών, όπως όσες συνδέθηκαν με το Snowflake και χτύπησαν AT&T και Ticketmaster, αλλά και η κλοπή 1 TB δεδομένων της Disney. Αυτού του τύπου τα malware έχουν κλέψει εκατοντάδες εκατομμύρια διαπιστευτήρια τα τελευταία χρόνια.
Τι κλέβει το Volta-Autodoxer
Το Volta-Autodoxer ρίχνει φαρδύ δίχτυ: κωδικούς αποθηκευμένους στον browser, tokens OAuth της Microsoft, cookies, κάρτες πληρωμής και seed phrases από πορτοφόλια crypto. Παίρνει επίσης ενεργές συνεδρίες σε Discord, Telegram, Steam και Roblox, κάτι που δείχνει ότι κυνηγά νεότερους χρήστες με έντονη ψηφιακή ζωή.
Μετά κάνει δεύτερο, πιο βαθύ πέρασμα. Ψάχνει στο Gmail ή σε άλλο κεντρικό λογαριασμό του θύματος, και από αποδείξεις και ιστορικό παραγγελιών (UberEats, DoorDash) βγάζει πού μένει και τι συνήθειες έχει.
Πώς χρησιμοποιεί την AI
Όλα τα ευρήματα μπαίνουν σε έναν «φάκελο», που το Volta-Autodoxer στέλνει σε μοντέλα AI μέσω του OpenRouter, μιας υπηρεσίας που προωθεί prompts σε διάφορους παρόχους. Προεπιλογή είναι το Claude Opus 4.6 της Anthropic. Οι δημιουργοί του προβλέπουν ότι τα φίλτρα ασφαλείας μπορεί να μπλοκάρουν το αίτημα, οπότε σε αυτή την περίπτωση το malware περνά στο Kimi K2 της κινεζικής Moonshot AI και, αν αποτύχει κι εκεί, στο Gemini 2.5 Flash της Google. Οι εναλλακτικές και τα φθηνότερα μοντέλα παλαιότερης γενιάς είναι συνηθισμένη τακτική των επιτιθέμενων.
Το prompt έχει 240 λέξεις, με κουκκίδες και αριθμημένη λίστα. Ζητά από το chatbot να παίξει τον «ιατροδικαστικό αναλυτή πληροφοριών» και να συντάξει αξιολόγηση στόχου. Θέλει σύνοψη για το πρόσωπο, τι δουλειά κάνει, «πόσο αξίζει» και πόσο προσέχει την ψηφιακή του ασφάλεια. Του ζητά επίσης να «ενώνει τις τελείες», για παράδειγμα να ελέγχει αν ο κωδικός του Wi-Fi ταιριάζει με το επώνυμο του θύματος.
«Ζητά από το μοντέλο να λειτουργήσει σαν αναλυτής πληροφοριών και να βγάλει δομημένη αξιολόγηση του θύματος, με παραπομπές», εξήγησε ο Ryan Fetterman, ερευνητής ασφαλείας της Cisco Talos. Κατά τον ίδιο, το prompt είναι γραμμένο προσεκτικά, ώστε να μη δείχνει κάτι ξεκάθαρα κακόβουλο. Χωρίς την AI, το Volta-Autodoxer δουλεύει κανονικά ως κλασικό infostealer.
Χρησιμοποιείται ήδη σε επιθέσεις;
Δεν είναι γνωστό. Η Cisco Talos εντόπισε το Volta-Autodoxer με το νέο της σύστημα CAIRN, που ψάχνει εργαλεία hacking με ενσωματωμένη AI, όμως δεν παρακολούθησε αν έχει χρησιμοποιηθεί σε πραγματικές επιθέσεις. Ο Fetterman βλέπει ενδείξεις ότι φτιάχτηκε για να πουληθεί σε πολλούς επιτιθέμενους και όχι για μία συγκεκριμένη ομάδα.
Το κέρδος για τους χάκερ είναι η ταχύτητα. Τα tokens λήγουν και οι κωδικοί αλλάζουν, οπότε όποιος ξεχωρίζει νωρίτερα τους πολύτιμους στόχους προλαβαίνει να χρησιμοποιήσει τα κλεμμένα στοιχεία. «Βλέπουμε πιο προηγμένες δυνατότητες να γίνονται προσβάσιμες σε λιγότερο έμπειρους επιτιθέμενους», σημείωσε ο Fetterman.
Κάποιοι μικροαπατεώνες παραπονιούνται ότι τα φόρουμ του κυβερνοεγκλήματος έχουν γεμίσει AI σαβούρα. Οι ερευνητές όμως βρίσκουν όλο και περισσότερους χάκερ να χρησιμοποιούν LLM για κώδικα ή για ανάλυση κλεμμένων δεδομένων. Η CrowdStrike, για παράδειγμα, εντόπισε πρόσφατα τέσσερις ομάδες που δρουν σε κινέζικα, ισπανικά και αγγλικά, ινδονησιακά και ρωσικά. Και οι τέσσερις χρησιμοποιούν εργαλεία AI για να παραβιάσουν δεκάδες στόχους, από κυβερνητικούς φορείς μέχρι εταιρείες υγείας, λιανικής και ταξιδιών.
