تحلیل بدافزار VOLTA؛ وقتی هوش مصنوعی قربانیان را بر اساس ارزش پولی رتبه‌بندی می‌کند

مقدمه و زمینه

دنیای جرایم سایبری شاهد تغییر رویکرد جالبی است: به جای تحلیل دستی حجم عظیمی از داده‌های سرقت‌شده، مهاجمان از مدل‌های زبان بزرگ (LLM) برای پردازش و دسته‌بندی آن‌ها بهره می‌برند. بدافزار جدیدی به نام VOLTA (یا VOLTA-AUTODOXER) که برای سیستم‌عامل ویندوز طراحی شده، نمونه‌ای بارز از این رویکرد است. این بدافزار پس از جمع‌آوری اطلاعات حساس از روی سیستم قربانی، یک لایه هوش مصنوعی را برای اولویت‌بندی اهداف به کار می‌گیرد.

جزئیات فنی و عملکرد بدافزار

بدافزار VOLTA فراتر از یک ابزار سرقت اطلاعات معمولی (Infostealer) عمل می‌کند. فرآیند کار این بدافزار شامل مراحل زیر است:

• جمع‌آوری گسترده داده‌ها: سرقت رمزهای عبور مرورگر، کوکی‌ها، اطلاعات کارت‌های بانکی، کلیدهای بازیابی کیف پول‌های رمزارز، توکن‌های دسترسی پلتفرم‌هایی مانند Discord، Telegram، Steam، توکن‌های OAuth مایکروسافت، کلیدهای SSH و ابر و همچنین اسکرین‌شات‌ها.
• غنی‌سازی داده‌ها (Data Enrichment): بدافزار با استفاده از توکن‌های نشستِ سرقت‌شده، به حساب‌های قربانی نفوذ می‌کند. برای مثال، صندوق ایمیل Gmail را برای یافتن فاکتورهای خرید بررسی می‌کند تا آدرس منزل را تایید کند، تاریخچه سفارش‌ها در سرویس‌هایی مانند UberEats را می‌خواند و موجودی حساب Roblox را استعلام می‌کند.
• تحلیل هوش مصنوعی: تمام اطلاعات جمع‌آوری‌شده در قالب یک فایل ساختاریافته JSON بسته‌بندی شده و از طریق پروتکل HTTP POST به پلتفرم OpenRouter ارسال می‌شود.
• پرامپت و مدل‌ها: مدل هوش مصنوعی با پرامپتی پیکربندی شده است که نقش یک تحلیلگر اطلاعات جنایی را بازی کند. خروجی شامل دو بخش اصلی است: ارزش پولی دارایی‌های قربانی (رتبه‌بندی شده در سطوح پایین، متوسط و بالا) و ارزیابی وضعیت امنیتی (OPSEC) او.

معماری مقاوم در برابر خطا و مکانیسم Fallback

یکی از نکات جالب توجه در طراحی VOLTA، پیش‌بینی مسدود شدن درخواست‌ها توسط خط‌مشی‌های ایمنی مدل‌های هوش مصنوعی (Model Guardrails) است. توسعه‌دهندگان این بدافزار از یک زنجیره سه‌مرحله‌ای از مدل‌ها استفاده کرده‌اند:

• تنظیم پارامتر temperature روی عدد 0.2 برای دستیابی به خروجی‌های قطعی، دقیق و سازگار.
• ارسال درخواست اولیه به مدل‌هایی مانند anthropic/claude-opus-4.6.
• در صورت برخورد با خطای امتناع مدل (Refusal)، سیستم به طور خودکار به مدل‌های جایگزین مانند moonshotai/kimi-k2 و google/gemini-2.5-flash سوییچ می‌کند.

این بدافزار به صورت کاملاً ماژولار طراحی شده و از یک مدل سازنده (Builder) استفاده می‌کند که به مشتریان اجازه می‌دهد کلیدهای خود را در شکاف‌های مشخص‌شده قرار دهند. تمامی ترافیک استخراج داده مستقیماً از طریق شبکه خود قربانی به سمت OpenRouter هدایت می‌شود و هیچ زیرساخت اختصاصی متعلق به مهاجم در میان نیست.

چرا این موضوع برای مهندسان نرم‌افزار اهمیت دارد؟

برای توسعه‌دهندگان و متخصصان امنیت، ظهور این‌گونه بدافزارها نشان‌دهنده تغییر الگو در اتوماسیون حملات سایبری است:

• جابجایی تلاش (Effort Displacement): هوش مصنوعی در اینجا برای سرعت یا مقیاس به کار نرفته، بلکه وظیفه سنگین «تحلیل انسانی و تصمیم‌گیری» را از دوش مهاجم برمی‌دارد. بدافزار اکنون می‌تواند خودش فکر کند و تصمیم بگیرد کدام قربانی ارزش وقت گذاشتن دارد.
• چالش‌های دفاعی: دور زدن مکانیزم‌های رمزنگاری مرورگرها (مانند App-Bound Encryption در کروم) و استفاده هوشمندانه از نشست‌های احرازویت‌شده، شناسایی این تهدیدات را پیچیده‌تر می‌کند. تحلیلگران امنیت باید به لاگ‌های سیستمی مانند volta_debug.txt و نظارت بر اجرای ابزارها با پارامتر --headless توجه ویژه داشته باشند.