برنامج السرقة VOLTA يسلم البيانات المسروقة إلى نماذج الذكاء الاصطناعي لتقدير قيمة كل ضحية

وصفت Cisco Talos برنامجا جديدا لسرقة المعلومات يسمى VOLTA في تحليل نشرته في 31 أكتوبر 2026. ويعمل البرنامج الذي يسمي نفسه VOLTA-AUTODOXER على Windows ويحذف نفسه بعد الانتهاء. أما الجديد فيبدأ بعد السرقة، إذ يرتب ما جمعه في ملف منظم ويرسله إلى نموذج لغوي ليكتب تقييما لقيمة الضحية.

ماذا يسرق

القائمة طويلة، وتشمل كلمات مرور المتصفح وملفات تعريف الارتباط والبطاقات المحفوظة وعبارات استرداد المحافظ الرقمية وجلسات Discord وTelegram وSteam وRoblox ورموز Microsoft ومفاتيح SSH والسحابة وكلمات مرور Wi-Fi ولقطات الشاشة. ثم يستخدم الجلسات المسروقة للتعمق أكثر، فيبحث في Gmail الضحية عن إيصالات Amazon وDoorDash وUber Eats وPayPal لتأكيد عنوان المنزل، ويسحب سجل طلبات الطعام، ويفحص القيمة السوقية لمقتنيات Roblox.

ماذا يفعل الذكاء الاصطناعي

بعد انتهاء الجمع يُرسل ملف يتضمن العنوان وجهة العمل وسنة الميلاد المقدرة وأرقام البطاقة إلى خدمة OpenRouter. ويطلب النظام من النموذج أن يتصرف كمحلل استخبارات جنائي. ويجب أن يرتب التقرير أصول الضحية ويصنفها منخفضة أو متوسطة أو عالية بحسب قيمتها المالية، ويقيّم قسم منفصل عادات الشخص الأمنية ونمط كلمات مروره. ويُطلب من النموذج أيضا ربط الأسماء أو العناوين أو الجامعات بكلمات المرور.

وتشير Talos إلى الاستعداد لحالات الرفض. فالبرنامج يحدد Claude Opus 4.6 نموذجا افتراضيا. وإذا تضمن الرد عبارات مثل "I can't" أو "I'm not able" جرب Kimi K2 ثم Gemini 2.5 Flash. وترى Talos في ذلك دليلا على أن المشغل يتوقع الاصطدام بحواجز النماذج. ولا يذكر التحليل أي نموذج أجاب فعليا. ويعمل البرنامج من دون مرحلة النموذج إذا لم يتوفر مفتاح.

لماذا يهم الأمر

بحسب Talos لا يسرع الذكاء الاصطناعي هنا هجوما معروفا، بل يتولى عمل المحلل لدى المشغل. ويبدو VOLTA منتجا للتأجير، فيه ست خانات قابلة للتبديل لقناة Telegram ومفاتيح API، مع بناء ملف مستقل لكل عميل. ويعني ذلك أن شخصا قليل الخبرة قد يتلقى تقارير مرتبة عن الضحايا عبر Telegram. وليس للمشغل بنية خاصة، إذ تمر كل الحركة عبر خدمات أطراف ثالثة. وظهرت العينة لأول مرة في 11 أكتوبر 2026.

كيف نتحصن

تقول Talos إن جزءا كبيرا من سرقة الرموز يعتمد على تشغيل Chrome من دون واجهة. وينبغي للمؤسسات تقييد العمليات التي يمكنها تشغيل Chrome بالخيار --headless أو على الأقل إطلاق تنبيه عند ذلك. ويجب حفظ بيانات الدخول في مخازن مدعومة بالعتاد. وعند الاشتباه في الإصابة ينبغي الاحتفاظ بملف %APPDATA%\volta_debug.txt لأنه يسجل ما سُرق، مع إلغاء الرموز وتغيير كلمات المرور. وتُعد المحافظ الرقمية التي خُزنت عبارات استردادها نصا صريحا على القرص مخترقة، ويجب نقلها إلى محفظة جديدة.

المصادر: Cisco Talos