Cisco Talos: برمجية VOLTA الخبيثة ترسل البيانات المسروقة إلى نموذج ذكاء اصطناعي ليرتّب الضحايا حسب قيمتهم

نشرت Cisco Talos يوم 31 أكتوبر 2026 تقريرًا كتبه Ryan Fetterman عن برمجية خبيثة لسرقة البيانات اسمها VOLTA. وما يميزها ليس ما تسرقه، بل ما تفعله بعد السرقة: ترسل ملفًا عن الضحية إلى نموذج ذكاء اصطناعي ليقيّم قيمته.

تجمع البرمجية بيانات المتصفحات والـ cookies وبطاقات الدفع المحفوظة، وجلسات Slack وDiscord وTelegram وSteam، ومفاتيح الـ SSH وملفات إعداد مزوّدي الكلاود مثل gcloud، وكلمات مرور شبكات Wi-Fi المحفوظة، ومحافظ العملات الرقمية. وتستخدم أيضًا جلسة البريد المسروقة للبحث عن فواتير شراء، تستخرج منها عنوان المنزل المؤكد.

ثم تجمع كل ذلك في ملف وترسله إلى OpenRouter مع تعليمات تطلب من النموذج أن يتصرف كمحلل معلومات ويكتب تقييمًا للهدف. ويُطلب منه قسمان بالاسم: الأصول مرتبة حسب إمكانية تحويلها إلى مال، ومستوى الحماية لدى الضحية. ودرجة الحرارة مضبوطة على 0.2، أي على الثبات لا التنويع.

والتفصيلة التي تكشف تفكير من كتبها أنه توقّع الرفض. فالنموذج الافتراضي هو claude-opus-4.6، وإذا رفض تنتقل البرمجية إلى kimi-k2 ثم إلى gemini-2.5-flash، وتفحص الرد بحثًا عن عبارات مثل “I can’t” لتنتقل إلى التالي.

وهنا يتغير الحساب. ففي أي تسريب كبير، كان كثير من الضحايا محميين بالكثرة نفسها، لأن قراءة آلاف السجلات وفرزها عمل بشري مكلف. حين يصبح الفرز نداء API، لا تبقى البيانات المسروقة في انتظار من يتفرغ لها، ويصل المهاجم مباشرة إلى من يحمل مفاتيح production أو محفظة ذات قيمة.

ويذكر التقرير أن منع تشغيل Chrome بوضع headless من العمليات غير المعروفة، مع تنبيه عند حدوثه، يغلق أهم طريق تستخدمه البرمجية. ويشير إلى ملف volta_debug.txt في مجلد APPDATA، الذي يسجّل ما جُمع بالضبط، ويرى أن عبارة المحفظة إذا كانت محفوظة على القرص فالمحفظة مكشوفة بالكامل.