VOLTA-AUTODOXER-skadlig kod använder AI för att rangordna offer

Forskare vid Cisco Talos har identifierat en Windows-skadlig kod med namnet VOLTA-AUTODOXER genom CAIRN, ett cybersäkerhetsverktyg med öppen källkod för att identifiera och spåra AI-driven skadlig kod.

Den skadliga koden samlar in personliga uppgifter och arbetsrelaterad information från en infekterad enhet, däribland geografisk plats, hemadress, arbetsgivare, uppskattat födelseår, kreditkortens fyra sista siffror, Slack-arbetsytor, metadata om dokumentförfattare, uppgifter som tyder på iPhone-säkerhetskopior och ett uppskattat värde på ett aktivt Roblox-konto. Den söker även i Gmail efter meddelanden från UberEats och DoorDash för att försöka bekräfta en hemadress.

VOLTA-AUTODOXER skickar den insamlade informationen till OpenRouter, där en AI-modell får instruktionen att agera som en ”forensisk underrättelseanalytiker som utarbetar en målanalys”. Den skadliga koden rangordnar offren efter värde, vilket tycks hjälpa angriparna att välja mål för utpressningsprogram. Claude är standardmodellen, medan Kimi K2 och Gemini 2.5 Flash anges som reservmodeller. Om modellerna inte fungerar skickar den skadliga koden rådata till angriparen, vanligtvis via en Telegram-kanal.

Forskarna säger att den skadliga koden verkar vara utformad för försäljning på svarta marknaden. Telegram-kanalen och API-nycklarna är inte hårdkodade; koden levereras som en mall med sex anpassningsbara fält. Cisco Talos säger att detta tyder på en byggarmodell där kunder anger värden för att skapa en anpassad binärfil. Efter körningen ska den skadliga koden radera sig själv, men en fil med namnet volta_debug.txt kan finnas kvar.