بدافزار VOLTA یک ابزار سرقت اطلاعات (Infostealer) پیشرفته است که با اضافه کردن یک لایه هوش مصنوعی (AI)، فرآیند تحلیل داده‌های سرقت شده را متحول کرده است. برخلاف بدافزارهای سنتی که صرفاً داده‌ها را جمع‌آوری می‌کنند، VOLTA از مدل‌های زبانی بزرگ (LLM) برای رتبه‌بندی دارایی‌های قربانی بر اساس ارزش پولی آن‌ها استفاده می‌کند.
مکانیزم هوشمند اولویت‌بندی قربانیان
پس از سرقت اطلاعات حساس مانند رمز عبور، کوکی‌ها (Cookies)، کیف پول‌های ارز دیجیتال و توکن‌های نشست (Session Tokens)، VOLTA یک بسته اطلاعاتی ساختاریافته را به یک مدل زبانی ارسال می‌کند. هدف این کار، تبدیل داده‌های خام به یک پرونده اطلاعاتی (Dossier) دقیق است که در آن دارایی‌های قربانی بر اساس قابلیت تجاری‌سازی (Monetization) رتبه‌بندی می‌شوند.
- غنی‌سازی داده‌ها (Data Enrichment): این بدافزار با استفاده از نشست‌های سرقت شده (مانند Gmail یا UberEats)، اطلاعات بیشتری از جمله آدرس دقیق منزل، تاریخچه خریدها و ارزش حساب‌های کاربری را استخراج می‌کند.
- دور زدن محدودیت‌های هوش مصنوعی: VOLTA برای مقابله با محدودیت‌های امنیتی مدل‌های هوش مصنوعی (Guardrails)، از یک زنجیره چندمدلی (Multi-model chain) استفاده می‌کند. اگر مدل اول (مانند Claude) از انجام تحلیل خودداری کند، بدافزار به صورت خودکار به مدل‌های بعدی (مانند Kimi یا Gemini) سوئیچ می‌کند.
ویژگی‌های فنی و نحوه استقرار
VOLTA از طریق یک مدل سازنده (Builder Model) عرضه می‌شود که به مهاجمان اجازه می‌دهد نسخه‌های سفارشی‌سازی شده را برای اهداف مختلف ایجاد کنند. این بدافزار دارای ویژگی‌های زیر است:
- خود-پاک‌کننده (Self-deleting): برای کاهش ردپای خود پس از عملیات.
- عدم استفاده از زیرساخت اختصاصی: تمام درخواست‌های هوش مصنوعی از طریق سرویس‌های شخص ثالث مانند OpenRouter انجام می‌شود تا شناسایی مهاجم دشوارتر شود.
- دقت بالا: استفاده از دمای پایین (Temperature 0.2) در درخواست‌های LLM نشان‌دهنده تمرکز مهاجم بر دقت و ثبات خروجی‌های تحلیل شده است.
اقدامات حفاظتی و مقابله
برای مقابله با این تهدید جدید، متخصصان امنیت پیشنهاد می‌کنند:
- محدود کردن اجرای مرورگر Chrome در حالت headless برای جلوگیری از دور زدن رمزنگاری App-Bound Encryption.
- ابطال فوری تمامی توکن‌ها و نشست‌های (Sessions) مشکوک.
- در صورت سرایت (Infection)، تغییر رمز عبور و انتقال دارایی‌های دیجیتال به کیف پول‌های جدید که در محیط‌های ایزوله (Air-gapped) ساخته شده‌اند.
به‌روزرسانی (اکتبر 31, 2026 — WIRED)
به‌روزرسانی: محققان Cisco Talos با استفاده از چارچوب CAIRN، گونه‌ی جدیدی از این بدافزار را با نام Volta-Autodoxer شناسایی کرده‌اند. این ابزار برخلاف نسخه‌های سنتی، از قابلیت‌های هوش مصنوعی برای تحلیل عمیق‌تر داده‌های سرقت شده استفاده می‌کند تا اهداف با ارزش مالی بالا را به‌صورت خودکار شناسایی و رتبه‌بندی کند.
این بدافزار از طریق سرویس OpenRouter به مدل‌های زبانی بزرگ (LLM) مختلفی از جمله Claude Opus 4.6، Moonshot AI Kimi K2 و Gemini 2.5 Flash متصل می‌شود. نکته قابل توجه، استفاده از استراتژی fallback است؛ به این معنا که اگر محدودیت‌های امنیتی (Guardrails) مدل اول مانع فعالیت شود، بدافزار به‌صورت خودکار به سراغ مدل‌های دیگر می‌رود تا از تحلیل داده‌ها جلوگیری نشود.
در فرآیند پروفایل‌سازی (Profiling)، Volta-Autodoxer با بررسی رسیدهای خرید از سرویس‌هایی مانند UberEats و DoorDash، اطلاعات دقیقی از موقعیت مکانی، عادات مصرف و سطح دارایی‌های قربانی استخراج می‌کند. این داده‌ها در نهایت در قالب یک پرونده اطلاعاتی (Dossier) ساختاریافته توسط هوش مصنوعی تحلیل شده و برای مهاجم ارسال می‌گردد.
