Ten złodziej haseł przekazuje twoje dane modelowi AI i pyta, ile jesteś wart

Infostealery zawsze były narzędziami masowymi. Zainfekuj tysiące komputerów, zgarnij wszystko, sprzedaj logi na kilogramy i niech ktoś inny grzebie w poszukiwaniu smakowitych kąsków. VOLTA, przeanalizowany przez badacza Cisco Talos Ryana Fettermana w raporcie opublikowanym 31 października, dodaje jeden krok: kiedy skończy kraść, pisze o tobie raport. Próbka pojawiła się po raz pierwszy 11 października i nazywa samą siebie VOLTA-AUTODOXER.

Część kradnąca jest raczej gruntowna niż nowatorska. Zapisane hasła, ciasteczka i karty płatnicze z przeglądarek opartych na Chrome, a także z Firefoksa i Thunderbirda. Profile Outlooka i przestrzenie robocze Slacka. Zalogowane sesje Discorda, Telegrama, Steama, Battle.net i Roblox. Tokeny logowania Microsoft, zrzuty ekranu i każde hasło Wi-Fi, jakie komputer kiedykolwiek zapisał, plus łamacz plików portfeli kryptowalutowych. Potem przychodzi dziwna część. Używa wykradzionej sesji Gmaila, by przeszukać skrzynkę pod kątem paragonów z Amazona, DoorDash, Uber Eats, Walmartu i PayPala, żeby potwierdzić twój adres zamieszkania, i sprawdza aktualną wartość odsprzedaży twojego ekwipunku w Roblox.

Wszystko to trafia, przez usługę pośredniczącą OpenRouter, do popularnego modelu AI, domyślnie Claude Opus 4.6 firmy Anthropic, z promptem systemowym obsadzającym go w roli „analityka wywiadu śledczego sporządzającego ocenę celu”. Jeśli model odmówi, malware sprawdza odpowiedź pod kątem zwrotów takich jak „I can't” (nie mogę) i próbuje Kimi od Moonshot, a potem Gemini od Google. Raport, o który prosi, ma dwie sekcje: „WHAT THEY'RE WORTH” (ile są warci), szeregującą twoje aktywa jako niskie, średnie lub wysokie, oraz „THEIR OPSEC” (ich bezpieczeństwo operacyjne), czyli ocenę twoich nawyków związanych z hasłami. Talos ujmuje to wprost: celem „nie jest szybkość ani skala, lecz przeniesienie wysiłku”. Ustalenie, które ofiary okraść w pierwszej kolejności, wymagało kiedyś człowieka. Teraz wymaga jednego wywołania API. Talos nie zgłosił potwierdzonych ofiar, a konstrukcja w formie zestawu do budowania sugeruje, że narzędzie ma być sprzedawane. Obrona jest nudna i skuteczna: nie trzymaj fraz seed ani haseł w zwykłych plikach tekstowych, używaj menedżera haseł z weryfikacją dwuetapową i traktuj każdy „scrackowany” plik do pobrania lub fałszywy instalator jak furgonetkę dostawczą, którą tego rodzaju rzeczy przyjeżdżają.

Kontrola prywatności i kont w Tendvane to szybki sposób, by sprawdzić, które z twoich kont wciąż opierają się na pojedynczym haśle, a to dokładnie ta słabość, do której wyszukiwania stworzono taki raport.