برمجية VOLTA الخبيثة تستغل Claude وGemini لتقييم الضحايا مالياً

مقدمة تحليلية

في 3 نوفمبر 2026، كشفت أبحاث الأمن السيبراني عن تطور مقلق يتمثل في برمجية VOLTA-AUTODOXER، المعروفة أيضاً باسم VOLTA. هذه البرمجية الخبيثة الجديدة تستهدف أنظمة Windows وتستخدم نماذج لغوية كبيرة (LLM) لترتيب البيانات المسروقة من الضحايا بناءً على قيمتها النقدية. تمثل VOLTA قفزة نوعية في أدوات سرقة المعلومات، حيث تنتقل من مجرد جمع البيانات الخام إلى استخدام الذكاء الاصطناعي لتحليلها وتصنيفها. تستعين البرمجية بخدمة OpenRouter، وهي بوابة موحدة لواجهة برمجة تطبيقات النماذج اللغوية الكبيرة (API gateway)، لتوجيه الطلبات إلى Anthropic's Claude Opus 4.6 بشكل افتراضي، مع الرجوع إلى Moonshot AI's Kimi K2 وGoogle's Gemini 2.5 Flash في حال الفشل.

هذا النهج يقلل بشكل جذري من الجهد التحليلي المطلوب من المهاجمين، محولاً سجلات الاعتماد الخام إلى ملفات تعريف مرتبة وموثقة للضحايا وأصولهم القابلة للاستثمار.

التحليل التقني

تتميز برمجية VOLTA، على غرار عائلات سرقة المعلومات التقليدية، بقدرتها على جمع مجموعة واسعة من البيانات الحساسة. تشمل هذه القدرات:

• كلمات المرور وملفات تعريف الارتباط من متصفحات الويب المستندة إلى Chromium.
• البيانات من ملفات تعريف Outlook ومساحات عمل Slack.
• بطاقات الدفع وعبارات الاسترداد لمحافظ العملات المشفرة.
• جلسات Discord وTelegram وSteam وRoblox.
• رموز Microsoft OAuth المميزة ومفاتيح SSH ومقدمي الخدمات السحابية.
• ملفات تعريف Wi-Fi ولقطات الشاشة.

تتجاوز VOLTA مجرد الجمع، فهي تبني «حزمة أدلة منظمة» حول الضحية. تشمل هذه الحزمة معلومات دقيقة مثل الموقع الجغرافي، وعنوان المنزل، وجهة العمل ونطاقها، وسنة الميلاد المستنتجة، وآخر 4 أرقام من بطاقة الدفع، ومساحات عمل Slack، وبيانات تعريف تأليف المستندات، ومؤشرات النسخ الاحتياطي لـ iPhone، وتقييم مباشر لحساب Roblox. لزيادة قيمة هذه المعلومات، تستغل البرمجية الوصول إلى جلسات حساب Gmail للضحية للبحث عن الإيصالات، مستخرجة رسائل البريد الإلكتروني المتعلقة بـ Amazon وDoorDash وUber Eats وGrubhub وWalmart وPayPal لتأكيد عنوان المنزل.

بعد جمع المعلومات، يتم تسلسل الحزمة وتغذيتها في نظام ذكاء اصطناعي للتحليل عبر OpenRouter. يتم توجيه الطلبات تلقائياً إلى Claude Opus 4.6، ثم Kimi K2، وأخيراً Gemini 2.5 Flash، مع التحقق من كل استجابة لعبارات الرفض مثل «لا أستطيع» أو «لست قادراً». تستخدم VOLTA موجه نظام مكون من 240 كلمة يوجه النموذج ليقوم بدور «محلل استخبارات جنائي» لوضع تقييم للهدف. ينص الموجه على أن «الحزمة هي المصدر الوحيد المسموح به للحقائق؛ يجب ألا توفر معرفة تدريبك أبداً حقيقة عن الموضوع». يتضمن الإخراج المطلوب قسماً بعنوان «ما يستحقونه» مع تصنيف الأصول القيمة حسب إمكانية استغلالها المالي (منخفض/متوسط/مرتفع)، وقسماً حول «أمن عملياتهم» يتضمن تقييماً لوضع الضحية الأمني ونظافة كلمة المرور. تتم عملية تسريب البيانات عبر Telegram على ثلاث مراحل: مباشرة بعد تشغيل السارق، بعد استدعاء الذكاء الاصطناعي، وبعد خطوة الإثراء المباشر. تستخدم VOLTA قالباً يحتوي على 6 خانات تُملأ أثناء الإنشاء، مما يشير إلى بيعها كأداة جاهزة أو خدمة مخصصة.

مخاطر LLMjacking مع NIK C2

يأتي الكشف عن VOLTA بعد تفاصيل Talos الأسبوع الماضي حول إطار عمل مدعوم بالذكاء الاصطناعي يُدعى NIK C2. هذا الإطار يمنح المهاجمين وصولاً عن بُعد، وسرقة بيانات الاعتماد، وتسجيل ضغطات المفاتيح، والتهرب الدفاعي، والمراقبة، وقدرات برامج الفدية، بينما يدمج عميل OpenAI لإرسال البيانات المسروقة لتحليل الذكاء الاصطناعي ضمن الجلسة المخترقة. NIK C2 هو أداة وصول عن بُعد (RAT) تستند إلى Go وتعمل على Windows، وتمنح تحكماً مستمراً على الأنظمة المخترقة وتدعم أكثر من 52 أمراً يُرسلها خادم القيادة والتحكم (C2) لجمع مجموعة واسعة من البيانات. يُلاحظ في تكامل OpenAI أن المهاجم يمكنه إساءة استخدام مفتاح OpenAI API الخاص بالضحية لتنفيذ التحليل المدفوع بالذكاء الاصطناعي.

تتحقق البرمجية مما إذا كان المهاجم قد قدم مفتاح API. وفي غياب ذلك، تقوم بمسح متغيرات بيئة الضحية بحثاً عن السلسلة «OPENAI_API_KEY» وتستخدمها. هذا شكل من أشكال LLMjacking، حيث يسرق المهاجمون الوصول إلى نموذج AI لجهة أخرى لتشغيل عملياتهم الخاصة، مما يحمل المالك الشرعي تكلفة الحوسبة ويساعد المهاجم على التهرب من الكشف.

السياق وتأثير السوق

إن تبني الذكاء الاصطناعي التوليدي (GenAI) من قبل الجهات الخبيثة يتسارع، حيث يدمج المهاجمون هذه التكنولوجيا في مسارات عملهم لتطوير أدوات مخصصة أو تحديد البيانات القيمة، مما يزيد من احتمالية نجاح هجماتهم. VOLTA تجسد هذا التحول، حيث تقدم ميزة لا تُغير سرعة أو نطاق الهجمات بقدر ما تُزيح الجهد التحليلي عن مشغلي البرامج الخبيثة. في السابق، كانت عملية غربلة كميات هائلة من البيانات الخام المستخرجة تتطلب وقتاً ومهارة يدوية من المهاجمين. الآن، VOLTA تقوم بتحويل هذه المهمة المعقدة إلى عملية مؤتمتة، مما يقلل من حاجز الدخول للمهاجمين الأقل خبرة. هذا التحول يعني أن تقييم الأهداف عالية القيمة الذي كان يتطلب ذكاءً يدوياً أصبح الآن متاحاً كـ «ميزة تمكن عميلاً من أي مستوى تعقيد من توجيهها نحو الضحايا وتلقي تقييمات الأهداف المرتبة في صندوق وارد Telegram الخاص بهم»، وفقاً لـ Talos.

تتفق Zscaler ThreatLabz مع هذا التوجه، مشيرة إلى أن تقنيات GenAI مناسبة تماماً لفحص كميات هائلة من البيانات لأغراض التصنيف أو البحث عن المحتوى. بمجرد حصول المهاجم على الوصول إلى نظام الضحية، يمكن استخدام GenAI للبحث في جميع المواد التي يمكن لنظام الضحية الوصول إليها، بحثاً عن البيانات الأكثر قيمة أو حساسية للسرقة أو التشفير خلال المرحلة التالية من الهجوم. هذا النهج يسمح لمرتكبي برامج الفدية بتحديد والحصول على البيانات الأكثر حساسية من الشبكة المخترقة، مما يزيد من فرص دفع الضحية. على النقيض من VOLTA التي تركز على تحليل ما بعد الاستخراج، فإن NIK C2 يدمج الذكاء الاصطناعي ضمن الجلسة المخترقة، مما «يعيد تشكيل حرفة الخصم من خلال دمج الجمع والاستغلال في جلسة واحدة مستمرة، مما يمحو بشكل فعال تأخيرات المعالجة دون اتصال التي كانت تمنح المدافعين تاريخياً نوافذ كشف حاسمة»، بحسب Talos. هذا يعني أن NIK C2 يقلل من فرص المدافعين للكشف والاستجابة، مقارنةً بـ VOLTA التي تعزز مرحلة ما بعد الاستغلال المالي.