برمجية سرقة تستدعي Claude وKimi وGemini لتقييم ما سرقته من ضحاياها

الملخص

• سيسكو تالوس ترصد البرمجية VOLTA ترسل بيانات كل ضحية إلى Claude Opus 4.6 عبر OpenRouter لتقدير قيمتها
• تتحول البرمجية إلى Kimi K2 ثم Gemini 2.5 Flash حين ترصد عبارات رفض في رد النموذج
• الطلب يخرج من جهاز الضحية إلى خدمة مشروعة بمفتاح صالح، فالرفض وحده لا يغلق الباب ولا خادم للمهاجم يُحجب

خبر

برمجية سرقة معلومات تحمل اسم VOLTA-AUTODOXER تضيف إلى سرقة كلمات المرور والمحافظ مرحلة أخيرة يتولاها نموذج ذكاء اصطناعي يصنّف ما سُرق بحسب سهولة تحويله إلى مال، بحسب تحليل نشرته سيسكو تالوس في 31 أكتوبر. ترسل البرمجية ملفاً بهوية الضحية إلى واجهة OpenRouter وتطلب من النموذج دور محلل استخبارات جنائي يصوغ تقييماً للهدف، ثم تحفظ الرد وترفعه مع الغنيمة. وتصف تالوس الدور بأنه إزاحة للجهد: النموذج يفرز ويقدّر بدلاً من المشغّل.

تفصيل

• سلسلة النماذج: الافتراضي المضمّن في البرمجية هو anthropic/claude-opus-4.6، وإن رصدت في الرد عبارات رفض من قبيل I can't وI'm not able انتقلت إلى moonshotai/kimi-k2 ثم google/gemini-2.5-flash. وتصف تالوس البدائل بأنها نماذج أصغر وأكثر تساهلاً، ويُبنى الطلب يدوياً عبر HTTPS من دون حزمة تطوير وبدرجة حرارة ثابتة 0.2.
• المدخلات والمخرجات: تجمع البرمجية ملف JSON باسم Identity_Report.txt وتحفظ رد النموذج في AI_Analysis.txt. يطلب القسم الأول ترتيب أصول الضحية بحسب سهولة تحويلها إلى مال على سلم منخفض ومتوسط ومرتفع، ويقيّم الثاني وضعه الأمني ونظافة كلمات مروره، مع مطالبة النموذج بربط الأسماء أو الجامعات بأنماط كلمات المرور وبإسناد كل ادعاء إلى دليل من البيانات المسروقة.
• ما يُسرق قبل التقييم: كلمات مرور المتصفحات وملفات تعريف الارتباط وبطاقات الدفع المحفوظة من متصفحات Chromium وFirefox وThunderbird وOutlook؛ وجلسات Slack وSteam وBattle.net وDiscord وTelegram وRoblox؛ ورموز Microsoft OAuth وملفات SSH وإعدادات gcloud وOpenVPN؛ وكلمات مرور Wi-Fi بنص صريح ولقطات للشاشة؛ ومحافظ العملات المشفرة بكسر خزائنها عبر أداة مضمّنة في البرمجية نفسها.
• الإثراء: تبحث البرمجية في Gmail عن إيصالات أمازون ودورداش وأوبر إيتس وغرب هب ووول مارت وباي بال لتأكيد عنوان السكن، وتستعلم عن سجل طلبات أوبر إيتس ودورداش، وتستخدم رمز Discord المسروق لإضافة تفاصيل الحساب، وتسعّر مخزون Roblox عبر استعلام حي من Rolimons. وتتركز أهداف الإثراء على خدمات استهلاكية شائعة في الولايات المتحدة.
• البنية: كل النقاط المرصودة تعود لأطراف ثالثة، فلا خادم مملوكاً للمهاجم يمكن حجبه، وطلب الذكاء الاصطناعي يخرج من جهاز الضحية ويبدو كحركة واجهة برمجة عادية. ويُخزّن مفتاح OpenRouter في إحدى 6 خانات في قالب البناء، وبلا مفتاح تتخطى البرمجية مرحلة النموذج وتعمل سارقاً تقليدياً.
• التوقيت: يحمل الملف التنفيذي ختماً زمنياً بتاريخ 17 أغسطس 2026، ورُصد أول مرة في 11 أكتوبر 2026 الساعة 12:46 بالتوقيت العالمي. وتقدّر تالوس أن VOLTA منتج بناء يُشارك أو يُباع لمجرمين آخرين، وأن مشترياً من أي مستوى مهارة يمكنه تلقي تقييمات مرتّبة للأهداف في صندوق تيليغرام.
• حدود التقرير: لم تنشر تالوس عدد الضحايا ولا الدول ولا ناقل الانتشار ولا نسبة إلى مجموعة بعينها، ولم تنشر نموذجاً لتقييم أنتجه النموذج فعلاً. ولا يتضمن التقرير رداً من أنثروبيك أو OpenRouter أو مونشوت إيه آي أو غوغل، ولا يذكر ما إذا كانت المفاتيح المضمّنة حُدّدت أو أُلغيت.
• التخفيف: توصي تالوس بتقييد التطبيقات المسموح لها بتشغيل Chrome بخيار --headless الذي تعتمد عليه البرمجية لتجاوز تشفير App-Bound، وبتنبيهات عند تشغيله من خارج أدوات التطوير، وبتخزين بيانات الاعتماد في مخازن مدعومة بالعتاد، وبعد الاشتباه بالإصابة إلغاء كل رمز معرّض ونقل أموال المحافظ إلى محفظة جديدة مولّدة على جهاز معزول.

ماذا بعد؟

رد أنثروبيك وOpenRouter ومونشوت إيه آي وغوغل على استدعاء نماذجها، وما إذا كانت المفاتيح المضمّنة ستُلغى، وأي رصد لتقييمات أنتجها النموذج في إصابات فعلية.

المصدر: سيسكو تالوس