חוקרי Cisco Talos תיעדו נוזקה חדשה למחשבי Windows בשם VOLTA. היא גונבת מידע כמו נוזקות אחרות מסוגה, ובנוסף שולחת את הנתונים למודל שפה שמעריך כמה הקורבן שווה לתוקף.
הפרטים
לפי Talos, הנוזקה היא גנב מידע בוגר שנוספה לו שכבת ניתוח בינה מלאכותית. היא אוספת סיסמאות ועוגיות מדפדפני Chromium, נתוני Outlook ו-Slack, כרטיסי אשראי, ביטויי שחזור של ארנקי קריפטו, סשנים של Discord ו-Telegram, טוקני Microsoft OAuth, מפתחות SSH וענן, ופרופילי Wi-Fi. היא גם משתמשת בגישה שנגנבה כדי לחפש בתיבת ה-Gmail של הקורבן קבלות מרכישות, וכך לאמת את כתובת המגורים שלו.
את הכול היא מרכזת ל"חבילת ראיות" על הקורבן ושולחת דרך שער ה-API בשם OpenRouter למודל שפה. ברירת המחדל היא Claude Opus 4.6. אם המודל מסרב, הנוזקה עוברת ל-Kimi K2 ואחריו ל-Gemini 2.5 Flash. ההנחיה למודל דורשת סעיף שמדרג את הנכסים הניתנים לכסף כנמוכים, בינוניים או גבוהים, וסעיף שמעריך את היגיינת האבטחה של הקורבן. הנתונים מועברים לערוץ Telegram בשלושה שלבים: אחרי הגניבה, אחרי הניתוח ואחרי חיפוש ה-Gmail. Talos מעריכים שהמודל משמש כאנליסט מיון שחוסך עבודה למפעיל, ולא כדי להגדיל את קנה המידה של התקיפות.
הדיווח אינו מציין דרך הדבקה ראשונית, כמות קורבנות או אינדיקטורים לזיהוי.
נקודות לשים לב
- גנב מידע אינו חדש, אבל כאן הקורבנות עשויים להיות מדורגים ומטופלים לפי שווים. חשבון עם גישה לענן או לתשתית ארגונית עלול לקבל עדיפות על פני חשבון פרטי.
- הנוזקה גונבת סשנים וטוקנים, לא רק סיסמאות. אם יש חשד להדבקה, ביטול סשנים וטוקנים ורוטציה של מפתחות SSH וענן חשובים לא פחות מאיפוס סיסמאות.
- הדיווח אינו כולל אינדיקטורים. לכן בדוק אצלך תעבורה חריגה מתחנות קצה לשירותי OpenRouter ול-API של Telegram, שאינה מוסברת בפעילות עסקית.
- אין לראות בכך הוכחה שה-AI מגביר את מהירות התקיפות. הערכת Talos היא שהוא מקל על האנליזה של המפעיל.
מקורות: Cisco Talos · The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
