AI機能を備えた情報窃取マルウェア「Volta-Autodoxer」

Voltaはブラウザ保存のパスワード、Microsoft OAuthトークン、クッキー、決済カード、暗号資産ウォレットのシードフレーズに加え、Discord、Telegram、Steam、Robloxのセッションも収集する。若く活発なネット利用者を狙った設計とみられる。最初の収集結果をもとに第2段階の探索も行い、GmailなどのアカウントからUberEatsやDoorDashの領収書や注文履歴を調べ、居住地や生活習慣まで把握する。 集めた情報は直列化した調査資料としてまとめられ、OpenRouter経由でLLMに送られる。既定はAnthropicのClaude Opus 4.6だが、ガードレールで拒否される場合に備え、Moonshot AIのKimi K2、さらにGoogleのGemini 2.5 Flashへフォールバックする。約240語のプロンプトは、法務調査の分析官として標的の評価書を作成するよう指示し、要約、職業、資産価値、opsecの概要を求める。Wi-Fiパスワードが姓と一致するかといった項目の突き合わせも促している。 Talosの研究者Ryan Fettermanは、プロンプトは悪意を明示しない書き方になっており、最初の要求で拒否される可能性を織り込んでいると説明する。AIなしでもマルウェア自体は動作する。特定の攻撃者向けではなく、複数の攻撃者に販売する目的で作られた可能性を示す手がかりもあるという。この検出にはAI機能を持つ攻撃ツールを特定するTalosの新フレームワークCAIRNが使われた。 記事は、CrowdStrikeが中国語、スペイン語と英語、インドネシア語、ロシア語で活動する4つの攻撃グループがAIツールを使って世界中の数十の標的を侵害したと伝えたことにも触れている。Fettermanは、高価値の標的を早く見つけられれば、期限のある認証トークンや変更されうるパスワードを悪用できる可能性が高まると指摘し、高度な能力が低い技術力の攻撃者にも広がっていると述べている。

WIRED AIより

推移を表示するための継続的な観測データがまだ足りません。