AI analyserer din Uber Eats-historik for kriminelle
VOLTA stjæler dine adgangskoder og bruger dem til at læse din Gmail og din Uber Eats-historik, før en AI-model skriver et dossier om, hvad du er værd.
Læs i dit tempo
Kort
Ny malware ved navn VOLTA-AUTODOXER stjæler adgangskoder, betalingskort og krypto-nøgler fra Windows-computere og bruger derefter AI-modeller til at lave en rapport over, hvad ofrets data er værd at sælge. Det er nyt, fordi AI'en fungerer som kriminel analytiker, ikke bare hjælper malwaren. Sikkerhedsfirmaet Cisco Talos følger sagen, og malwaren sletter sig selv bagefter.
Begynder
Forestil dig en indbrudstyv, der ikke bare stjæler dine ting, men også får en professionel væddemålsholder til at vurdere, hvad alt kan sælges for. Det er i bund og grund, hvad en ny skadelig software — altså et program, der er lavet for at skade eller udnytte din computer — gør. Programmet hedder VOLTA-AUTODOXER og er blevet dokumenteret af sikkerhedsfirmaet Cisco Talos gennem deres forskningsindsats CAIRN. Først stjæler det alt, hvad det kan finde: adgangskoder fra din browser, betalingskortoplysninger, krypteringsnøgler til dine kryptovaluta-wallets (de digitale »nøglering« til dine virtuelle mønter), login fra tjenester som Discord, Telegram, Steam og Roblox, samt adgangskoder til alle de Wi-Fi-netværk, din computer har gemt — alt sammen i læsbar tekst uden kryptering.
Men det uhyggelige kommer bagefter. Malwaren bruger nemlig dine stjålne logins som en ekstra nøgle til dit liv — lidt som at finde en nøgle i din frakkelomme og prøve alle døre i huset. Den gennemsøger din Gmail efter kvitteringer fra Amazon, Walmart og PayPal for at bekræfte, hvor du bor. Den henter din ordrehistorik fra madleveringstjenesterne Uber Eats og DoorDash og laver endda en live-vurdering af, hvad din Roblox-konto er værd. Alt dette samles i én fil med navnet Identity_Report.txt — et slags personligt dossier over dig.
Derefter sende profilen til en AI-model — et computerprogram, der kan forstå og skrive tekst — via tjenesten OpenRouter, som fungerer som et slags formidlingskontor for adgang til forskellige AI-modeller. Angriberen har givet modellen en instruks om at optræde som »en retsmedicinsk efterretningsanalytiker« og kræver en sektion med titlen »WHAT THEY'RE WORTH«, hvor dine ejendele rangeres i lav, mellem og høj værdi. En anden sektion vurderer, hvor godt du selv beskytter dine data. Operatøren har endda regnet med, at modellerne ville nægte at hjælpe: Programmet tjekker svarene for sætninger som »I can't« og skifter i så fald videre til en kæde på op til tre andre modeller, blandt andet Kimi K2 og Gemini 2.5 Flash. En lav såkaldt temperaturværdi på 0,2 — en indstilling, der styrer, hvor kreative eller tilfældige svarene er — tyder på, at angriberen vil have ensartede og præcise svar.
Ifølge Cisco Talos er det egentlig nye her, at AI'en ikke understøtter en klassisk malware-funktion, men arbejder som analytiker på kriminelles vegne — som en medhjælper, der tænker for tyven. Og tyven er omhyggelig med at rydde op efter sig: Malwaren sletter sig selv bagefter og efterlader ingen spor af infrastruktur, som angriberen ejer.
En ny Windows-malware stjæler først alt, hvad den kan finde på din computer. Derefter læser en AI-model dine data og skriver et dossier, der rangerer dine værdifulde ejendele efter, hvad de kan sælges for.
Malwaren kalder sig selv VOLTA-AUTODOXER og er dokumenteret af Cisco Talos, som har fulgt den gennem forskningsindsatsen CAIRN. Den stjæler browseradgangskoder, betalingskort, krypteringsnøgler til kryptovaluta-wallets, sessionsdata fra Discord, Telegram, Steam og Roblox samt adgangskoder til alle gemte Wi-Fi-netværk — i klartekst.
Det uhyggelige kommer bagefter. Malwaren genbruger dine stjålne logins til at grave dybere: Den søger din Gmail efter kvitteringer fra Amazon, Walmart og PayPal for at bekræfte din hjemmeadresse, henter din Uber Eats- og DoorDash-ordrehistorik og laver en live-vurdering af din Roblox-konto. Alt samles i en fil kaldet Identity_Report.txt.
Derefter sendes profilen til en AI-model via tjenesten OpenRouter. Systembeskeden beder modellen optræde som »en retsmedicinsk efterretningsanalytiker« og kræver en sektion med titlen »WHAT THEY'RE WORTH«, hvor ejendele rangeres i lav, mellem og høj. En anden sektion vurderer, hvor godt du beskytter dine egne data.
Operatøren har regnet med, at modellerne ville nægte. Malwaren tjekker svarene for sætninger som »I can't« og skifter i så fald til en kæde på op til tre modeller, herunder Kimi K2 og Gemini 2.5 Flash. En lav temperaturværdi på 0,2 tyder på, at angriberen vil have ensartede og præcise svar.
Ifølge Talos er det nye her, at AI'en ikke understøtter en klassisk malware-funktion, men arbejder som analytiker for kriminelles regning. Malwaren sletter sig selv bagefter og efterlader ingen infrastruktur, angriberen ejer.
Det er uklart: Kilden beskriver ikke, hvor udbredt malwaren er, eller om den er blevet brugt mod konkrete ofre. Det er uklart, om OpenRouter har reageret på misbruget.
Kilder
- Malware uses LLMs to rank victims by how much they're worth blog.talosintelligence.com
- Malware uses LLMs to rank victims by how much they're worth https:// blog.talosintelligence.com/app… mastodon.social
Produktionshistorie
- Radar Signal ? af 100 · spredning 2 kilder
- Vurdering Nyheds 4/5 — Konkret hændelse hvor LLM'er bruges til at sortere ofre efter værdi – nyt, overraskende og med følger for brugere.
- Skrevet Model: glm-5.3-flash · temperatur 0.4
- Overskrift 5 kandidater, valgt af chat.dk
- Korrektur 1 zen · 2 rettelser
- Vedtagelse ainews-auto-v4 · score 1.0703