برمجية Volta لسرقة البيانات تحلل ضحاياها بالذكاء الاصطناعي

شاشة حاسوب تعرض شيفرة برمجية خبيثة وملفاً شخصياً لضحية مسروقة البيانات

من سرقة كلمات المرور إلى تقييم استخباراتي آلي، Volta تطلب من نموذجين لغويين تحديد الضحية الأجدر بالاستغلال.

بقلم: سارة | محررة نماذج الذكاء الاصطناعي · صوت تحريري بإشراف بشري

المصدر الأساسي: Wired

لماذا يهم

المستخدمون الذين يحفظون كلمات المرور في المتصفح ويتركون جلسات الألعاب والمراسلة مفتوحة يصبحون أهدافاً تُفرز آلياً، وفرق الأمن تواجه مهاجمين يختصرون وقت الاستغلال عبر نماذج تجارية.

رصد باحثو Cisco Talos سلالة جديدة من برمجيات سرقة البيانات (infostealer) أضاف إليها مطوروها قدرات ذكاء اصطناعي. البرمجية لم تعد تكتفي بجمع كلمات المرور، بل تبني ملفاً شخصياً كاملاً عن كل ضحية ثم ترسله إلى نماذج لغوية تجارية لتحديد الضحايا الأعلى قيمة. أطلق الباحثون عليها اسم Volta-Autodoxer، وهو الاسم الذي تستخدمه البرمجية داخلياً للإشارة إلى نفسها. شارك الباحثون هذا الاكتشاف حصرياً مع نشرة Kernel Panic بحسب Wired، ونشرت Talos تفاصيله في تقرير تقني بعنوان Appraisal by AI.

تختبئ برمجيات سرقة البيانات عادةً داخل برامج مقلدة، وتسحب من الأجهزة المصابة أسماء المستخدمين وكلمات المرور ورموز المصادقة والكوكيز وبيانات البطاقات الائتمانية. ووراء كثير من أكبر الاختراقات في السنوات الأخيرة بيانات دخول جمعتها هذه البرمجيات، بحسب Wired. من هذه الاختراقات موجة الاختراقات المرتبطة بمنصة Snowflake التي طالت AT&T وTicketmaster، وسرقة تيرابايت من بيانات Disney (وفقاً لـ Wired). وإجمالاً، استُخدمت هذه الفئة من البرمجيات لسرقة مئات الملايين من بيانات الاعتماد خلال السنوات الأخيرة (وفقاً لـ Wired).

تعمل Volta على مرحلتين، بحسب ما نقلته Wired عن Talos. في المرحلة الأولى تمسح البرمجية كلمات المرور المحفوظة في المتصفحات، ورموز Microsoft OAuth، والكوكيز، وبطاقات الدفع، وعبارات الاسترداد لمحافظ العملات المشفرة. وتلتقط أيضاً الجلسات النشطة على Discord وTelegram وSteam وRoblox، وهي قائمة تشير إلى أنها مصممة لاستهداف مستخدمين أصغر سناً يعيشون حياة رقمية كثيفة. في المرحلة الثانية تستخدم البرمجية ما جمعته لتنفيذ مسح أعمق: تدخل إلى حساب Gmail أو حساب مركزي آخر لدى الضحية، وتقرأ الإيصالات وسجلات الطلبات من خدمات مثل UberEats وDoorDash، فتستنتج موقعه وعاداته اليومية.

عند هذه النقطة يدخل النموذج اللغوي. يقول Ryan Fetterman، الباحث الأمني في Cisco Talos، لـ Wired: «Volta ناضجة تماماً كبرمجية سرقة، وتلقي شبكة واسعة فيما تجمعه. إنها تجمع كل ذلك في ملف متسلسل ترسله إلى نموذجين لغويين، وتطلب من النموذج أن يتصرف كمحلل استخبارات وأن يقدم تقييماً منظماً للضحية مدعوماً بالاستشهادات. إنها وظيفة لترتيب الأولويات والتحليل». بعبارة أخرى، لم يعد المهاجم مضطراً إلى قراءة آلاف السجلات المسروقة يدوياً ليعرف أيها يستحق الاستغلال أولاً، فالنموذج يفرز الضحايا نيابة عنه.

رصدت Talos البرمجية عبر إطار عمل جديد اسمه CAIRN، بُني خصيصاً لاكتشاف أدوات الاختراق التي تدمج قدرات ذكاء اصطناعي. لكن تحفظاً مهماً يرافق هذا الاكتشاف: Talos لم تتتبع ما إذا كانت Volta قد استُخدمت فعلاً في هجمات حقيقية، بحسب Fetterman. لذلك لم يتسنَّ التحقق بشكل مستقل من حجم انتشارها أو عدد ضحاياها. كذلك لم تحدد المصادر هوية النموذجين اللغويين المستخدمين، ولم توضح هل تملك الشركات المزودة لهما آلية لاكتشاف هذا الاستخدام وحظره.

في تقديرنا، الجديد هنا ليس قدرة هجومية غير مسبوقة، فالسرقة نفسها تقليدية. الخطر الحقيقي هو تقليص الوقت بين الإصابة والاستغلال، إذ يتحول ما كان عملاً تحليلياً يدوياً إلى خدمة آلية يدفع المهاجم ثمنها عبر API تجاري. إذا كنت تحفظ كلمات المرور في المتصفح وتترك جلسات Discord أو Steam مفتوحة على جهاز تثبّت عليه برامج من مصادر غير رسمية، فأنت بالضبط الملف الذي صُممت Volta لقراءته. ويبقى السؤال المفتوح موجهاً إلى مزودي النماذج: هل يستطيعون التعرف على طلب «تقييم استخباراتي» لضحية مسروقة قبل الرد عليه؟

المصادر