بدافزار سرقت اطلاعات Volta با بهره‌گیری از هوش مصنوعی، اهداف باارزش را شناسایی و تحلیل می‌کند

یافته‌های پژوهشی جدید نشان می‌دهد هکرها قابلیت‌های هوش مصنوعی را به نسل جدیدی از بدافزارهای سرقت اطلاعات (Infostealer) اضافه کرده‌اند؛ رویکردی نوین که امکان پروفایل‌سازی خودکار از قربانیان و شناسایی سریع باارزش‌ترین اهداف را برای سامانه‌های مخرب فراهم می‌کند. این ابزار که به‌دلیل ارجاعات درون‌کدی‌اش «Volta-Autodoxer» نام گرفته، در گزارش جدید پژوهشگران واحد امنیتی Cisco Talos تحلیل شده است و نشان می‌دهد مهاجمان سایبری چگونه از مدل‌های تجاری هوش مصنوعی برای ارتقا و تقویت بدافزارهای شناخته‌شده استفاده می‌کنند.

بدافزارهای سرقت اطلاعات معمولاً در پوشش نرم‌افزارهای جعلی یا کرک‌شده پنهان می‌شوند و همان‌طور که از نامشان پیداست، وظیفه استخراج نام‌های کاربری، گذرواژه‌ها، توکن‌های احراز هویت، کوکی‌ها و اطلاعات کارت‌های بانکی را از سیستم قربانی بر عهده دارند. بخش بزرگی از نشت‌های اطلاعاتی عظیم در سال‌های اخیر، از جمله نفوذ گسترده به پلتفرم Snowflake که دامن‌گیر شرکت‌هایی نظیر AT&T و Ticketmaster شد و سرقت یک ترابایت اطلاعات شرکت Disney، همگی ناشی از دسترسی هکرها به داده‌های ورودی سرقت‌شده توسط همین ابزارها بوده است. به‌طور کلی، بدافزارهای سرقت اطلاعات در سال‌های اخیر برای ربودن صدها میلیون اعتبارنامه امنیتی به کار گرفته شده‌اند.

رایان فترمن، پژوهشگر امنیتی در Cisco Talos، در این باره می‌گوید: «Volta بدافزاری کاملاً پخته و تکامل‌یافته در دسته ابزارهای سرقت داده است و دامنه بسیار گسترده‌ای از اطلاعات را جمع‌آوری می‌کند. این برنامه همه داده‌های گردآوری‌شده را تجمیع کرده و پرونده‌ای یکپارچه می‌سازد تا آن را به چند مدل هوش مصنوعی ارسال کند. بدافزار از مدل زبانی می‌خواهد درست مانند یک تحلیلگر اطلاعاتی عمل کند و ارزیابی ساختاریافته و مستندی از وضعیت قربانی ارائه دهد؛ این سازوکار در واقع نقش یک سیستم اولویت‌بندی و تحلیل هوشمند را بازی می‌کند.»

پژوهشگران Talos این بدافزار را با استفاده از فریمورک جدید خود با نام CAIRN شناسایی کردند؛ سیستمی که به‌طور اختصاصی برای رهگیری ابزارهای نفوذ مجهز به هوش مصنوعی طراحی شده است. فترمن اشاره می‌کند که این تیم هنوز شواهدی مبنی بر استفاده فعال و گسترده از Volta در حملات واقعی ثبت نکرده است.

قابلیت‌های سنتی سرقت اطلاعات در Volta قدرت بالایی دارد و به نظر می‌رسد برای هدف قرار دادن کاربران جوان‌تر وب که زندگی دیجیتال پرجنب‌وجوشی دارند بهینه‌سازی شده است. این ابزار نه تنها گذرواژه‌های ذخیره‌شده در مرورگرها، توکن‌های اعتبارسنجی مایکروسافت، کوکی‌ها، کارت‌های پرداخت بانکی و عبارت‌های بازیابی کیف پول‌های رمزارز را جستجو می‌کند، بلکه نشست‌های فعال در پلتفرم‌های Discord، تلگرام، Steam و Roblox را نیز به سرقت می‌برد. در ادامه، بدافزار با بهره‌گیری از اطلاعات مرحله اول، پویشی عمیق‌تر انجام می‌دهد. Volta با بررسی حساب Gmail یا سایر سرویس‌های اصلی قربانی و با تحلیل رسیدها و تاریخچه سفارش‌ها در پلتفرم‌هایی نظیر UberEats و DoorDash، تصویر جامع‌تری از هویت، موقعیت مکانی و عادات فرد به دست می‌آورد.

پس از گردآوری همه اطلاعات، بدافزار یافته‌های خود را از طریق پلتفرم OpenRouter که امکان ارسال پرامپت به ارائه‌دهندگان گوناگون هوش مصنوعی را فراهم می‌کند، برای تحلیل به مدل‌های زبانی می‌سپارد. Volta به‌صورت پیش‌فرض درخواست‌های خود را به مدل Claude Opus 4.6 از شرکت Anthropic ارسال می‌کند. با این حال، توسعه‌دهندگان آن با پیش‌بینی مسدود شدن درخواست توسط لایه‌های امنیتی این مدل، مسیرهای جایگزینی تعبیه کرده‌اند؛ در صورت عدم پاسخگویی، درخواست به مدل متن‌باز چینی Kimi K2 از استارتاپ Moonshot AI و در مرحله بعد به مدل Gemini 2.5 Flash گوگل هدایت می‌شود. استفاده از گزینه‌های جایگزین چندلایه و تکیه بر مدل‌های کم‌هزینه، راهکاری متداول میان مهاجمان سایبری به‌شمار می‌رود.

سازندگان Volta یک پرامپت ۲۴۰ کلمه‌ای شامل نکات بولت‌پوینت و فهرست‌های شماره‌دار را به‌عنوان دستورالعمل تحلیل داده‌ها درون بدافزار قرار داده‌اند. در این پرامپت خطاب به مدل آمده است: «شما یک تحلیلگر اطلاعاتی قانونی هستید که بر اساس شواهد ساختاریافته، ارزیابی هدف را تدوین می‌کنید.» پرامپت از چت‌بات می‌خواهد یک «خلاصه مدیریتی» درباره قربانی، شرح فعالیت‌ها، «میزان ارزش مالی و اطلاعاتی او» و چکیده‌ای از «وضعیت امنیت عملیاتی» فرد تهیه کند. علاوه بر این، از مدل خواسته می‌شود ارتباط میان داده‌های مختلف را کشف کند؛ برای نمونه بررسی کند که آیا رمز وای‌فای شخص با نام خانوادگی او همخوانی دارد یا خیر. در پایان پرامپت تاکید شده است: «به‌صورت عمیق تحلیل کنید، نه سطحی.»

فترمن در تشریح این دستورالعمل‌ها می‌گوید: «پرامپت با ظرافت خاصی نوشته شده است تا در نگاه اول هیچ هدف مخرب آشکاری را نشان ندهد. با این حال، توسعه‌دهندگان احتمال مخالفت و امتناع مدل‌های اولیه را در نظر گرفته‌اند و سیستمی آبشاری برای ارجاع درخواست به مدل‌های سهل‌گیرتر طراحی کرده‌اند. علاوه بر این، بدافزار حتی بدون قابلیت‌های هوش مصنوعی نیز به‌طور کامل کار می‌کند؛ در واقع تحلیل هوش مصنوعی ارزش افزوده‌ای برای تسهیل کار مهاجم است، اما هسته بدافزار برای سرقت اطلاعات نیازی به آن ندارد.»

اگرچه برخی مجرمان سایبری و کلاهبرداران خرده‌پا از پر شدن انجمن‌های هک با محتوای بی‌کیفیت هوش مصنوعی شکایت دارند، اما کارشناسان امنیتی روزبه‌روز شواهد بیشتری از کاربرد جدی مدل‌های زبانی در برنامه‌نویسی بدافزار یا تحلیل حجم انبوه اطلاعات مسروقه به دست می‌آورند. به‌عنوان نمونه، پژوهشگران شرکت تحلیل تهدیدات CrowdStrike به‌تازگی گزارش داده‌اند که شاهد فعالیت چهار گروه هکری مجزا با سطوح تخصص متفاوت، فعال به زبان‌های چینی، اسپانیایی، انگلیسی، اندونزیایی و روسی بوده‌اند که با بهره‌گیری از ابزارهای هوش مصنوعی به ده‌ها سازمان در سراسر جهان، از جمله نهادهای دولتی و کسب‌وکارهای فعال در حوزه بهداشت و درمان، خرده‌فروشی و گردشگری نفوذ کرده‌اند.

فترمن از سیسکو اشاره می‌کند شواهدی در ساختار Volta وجود دارد که نشان می‌دهد این بدافزار احتمالاً به‌عنوان محصولی تجاری برای فروش به گروه‌های مختلف هکری ساخته شده و مختص یک کارزار سایبری ویژه نیست. هرچند این بدافزار در هسته خود همان ساختار سنتی سرقت داده را دنبال می‌کند، اما پیوند خوردن آن با هوش مصنوعی زنگ خطری جدی برای آغاز موجی جدید از حملات پیچیده‌تر و تهاجمی‌تر در آینده به‌شمار می‌رود.

فترمن با اشاره به اینکه توکن‌های احراز هویت تاریخ انقضا دارند و گذرواژه‌ها به‌سرعت توسط کاربران تغییر می‌کنند، توضیح می‌دهد: «اگر بتوانید اهداف ارزشمند را با سرعت بسیار بالاتری تشخیص دهید، شانس بسیار بیشتری برای بهره‌برداری از توکن‌ها یا ورود با اطلاعات هویتی مسروقه پیش از باطل شدن آن‌ها خواهید داشت؛ در حالی که غربالگری دستی این داده‌ها بسیار زمان‌بر است. امروزه شاهد دسترسی هکرهای کم‌تجربه به قابلیت‌های بسیار پیشرفته هستیم و این پدیده در عین شگفت‌انگیز بودن، فوق‌العاده نگران‌کننده است.»