Malware nutzt LLMs, um Opfer nach ihrem Wert zu sortieren
Malware uses LLMs to rank victims by how much they're worth
Der selbstlöschende Windows-Infostealer VOLTA sammelt Passwörter, Krypto-Wallets und Sessions ein und schickt anschließend ein strukturiertes Datenpaket an ein LLM über OpenRouter. Das Modell – standardmäßig Claude, mit Kimi und Gemini als Ausweichkette – soll die Beute nach Monetarisierungswert einstufen und die Sicherheitslage des Opfers bewerten. Damit verlagert die Schadsoftware die analytische Arbeit des Angreifers auf eine KI und liefert jedem Kunden fertige Zielprofile.
Das Modell ist der Triage-Analyst des Operators; es verwandelt ein rohes Zugangsdaten-Log in ein priorisiertes, mit Belegen untermauertes Dossier über das Opfer und seine monetarisierbaren Werte.
- akersten
Das ist die Art von Zeug, die mich nachts wachhält. Claude, ArtCraft, tonnenweise andere Auto-Download-Tools, rollen 10.000de Code-Änderungen pro Monat aus. Wenn ein kompromittiertes Update diesen Kerl reinschmuggelt, ist es irgendwie Game Over. Die Zeitfenster für einen Angriff wie diesen scheinen sich zu weiten, je schneller wir Software „entwickeln“.
Das lässt mich wünschen, ich hätte so 5 separate Computer:
- einen nur fürs Banking
- einen nur für Entwicklung
- einen nur fürs Web-Browsing
- einen nur fürs Gaming
- einen nur für Socials
Wie sonst kann man sich gegen eine Bedrohung absichern, die dein gesamtes digitales Leben in etwa 10 Sekunden exfiltriert?
- jumploops
Ich habe darüber nachgedacht, dass wir uns noch in den Anfängen der Agenten befinden, ähnlich wie in den Anfängen des Internets, als wir fröhlich unsere Maschinen öffneten und neue Protokolle ausführten.
Bald (jetzt?) werden die Bedrohungen immer komplexer werden, und wir werden wieder in virussturmähnlichen Zuständen wie Anfang der 2000er landen.
- mullingitover
Werden wir in einen Wettrüstung enden, in der unsere lokalen Datensätze defensiv mit Prompt-Injection/Agent-Poisoning/tank_man.jpg gespickt werden?
- goatsi
Es ist eine seltsame Wahl, das auf der Maschine des Opfers laufen zu lassen (und dabei den Open-Router-Schlüssel offenzulegen), statt auf der Infrastruktur des Angreifers. Ich schätze, so bleibt es für die Käufer todsimpel: Man muss nur einen Telegram-Kanal auswählen, in den die Logs gekippt werden.
- steve1977
Ha, endlich zahlt es sich aus, arm zu sein!
- riskable
Wie rücksichtsvoll! Klau von den Reichen, nicht von den Armen.
Umgekehrt: Kümmere dich nicht um arme Leute!
Jetzt brauchen wir nur noch richtige Robin-Hood-Malware, die sozusagen „gleiche Verhältnisse schafft“, indem sie von den Reichen stiehlt und das Geld auf die Konten der Armen verschiebt (die ebenfalls gehackt wurden).
- jruohonen
Wenn man die Beiträge hier zurückverfolgt, gab es die Warnungen von verschiedenen Stellen bereits vor zwei oder drei Jahren, aber es scheint, dass die Verzögerung jetzt aufgeholt wird. (Eigentlich frage ich mich, warum es so lange gedauert hat.)
- markstos
Sobald die Opfer eingestuft sind, kann ihnen ein proportionales Token-Budget zugewiesen werden, sodass ein Opfer mit hohem Wert mit Zero-Days oder Deepfakes angegriffen werden könnte, die teurer in der Ausführung sind, aber die gewünschte Kosten/Nutzen-Schwelle überschritten haben.