मैलवेयर Volta आपकी Gmail रसीदें खंगालकर AI से पूछता है कि आप कितने के हैं

हाल ही में दर्ज किए गए Windows मैलवेयर का एक नया नमूना अपनी चुराई हुई जानकारी AI चैटबॉट को सौंपता है और उससे उस व्यक्ति के बारे में लिखित आकलन माँगता है जिसे उसने अभी-अभी लूटा है। Volta-Autodoxer नाम का यह मैलवेयर सहेजे गए पासवर्ड, कुकीज़, भुगतान कार्ड और क्रिप्टो वॉलेट चुराता है, फिर एक बड़े भाषा मॉडल को पूरा ब्यौरा भेजकर निर्देश देता है कि वह बताए, “इनकी कीमत कितनी है।” जिन लोगों की ज़िंदगी ब्राउज़र के ज़रिये चलती है, उनके लिए इसका मतलब है कि चुराए गए लॉगिन की सूची अब उन लोगों की छँटी हुई सूची बन सकती है जिन्हें सबसे पहले लूटा जाए।

यह शोध Cisco Talos का है। कंपनी ने मैलवेयर को ऐसे नए ढाँचे की मदद से चिह्नित किया है, जिसे उन हैकिंग टूल्स को पकड़ने के लिए बनाया गया है जो AI मॉडल से संपर्क करते हैं; इसकी खबर सबसे पहले Wired ने दी। चोरी का तरीका जाना-पहचाना है, लेकिन उसके बाद होने वाली पड़ताल नई है। पीड़ित के चुराए गए सेशन का इस्तेमाल करके Volta उसके Gmail में Amazon, DoorDash, Uber Eats, Grubhub, Walmart और PayPal की रसीदें ढूँढ़ता है, ताकि घर का पता पक्का कर सके। वह खाने की डिलीवरी के ऑर्डर का इतिहास निकालता है, पीड़ित की Discord प्रोफ़ाइल पूरी करता है और लाइव सर्च के ज़रिये उसके Roblox सामान की कीमत तक पता करता है।

यह सारी जानकारी सबूतों के एक व्यवस्थित पैकेट में समेटकर OpenRouter के ज़रिये भेजी जाती है—यह ऐसी सेवा है जो प्रॉम्प्ट को कई AI प्रदाताओं तक पहुँचाती है। इसका डिफ़ॉल्ट मॉडल Anthropic का Claude Opus 4.6 है। करीब 240 शब्दों का प्रॉम्प्ट मॉडल को “लक्ष्य का आकलन तैयार कर रहे फॉरेंसिक खुफिया विश्लेषक” की भूमिका देता है। इसमें पीड़ित की कीमत पर एक खंड माँगा जाता है, जिसमें यह बताया जाए कि कौन-सी कीमती चीज़ें कितनी आसानी से नकदी में बदली जा सकती हैं; साथ ही उसकी सुरक्षा संबंधी आदतों को भी ग्रेड देने को कहा जाता है। मॉडल को “अलग-अलग जानकारियों के बीच कड़ियाँ जोड़ने” का निर्देश दिया जाता है—मिसाल के तौर पर, यह देखना कि वाई-फ़ाई का पासवर्ड किसी उपनाम से मेल खाता है या नहीं—और कहा जाता है कि “ऊपरी तौर पर नहीं, गहराई से पड़ताल करें।”

इसके लेखक मानकर चल रहे थे कि कुछ चैटबॉट इनकार कर सकते हैं। Volta हर जवाब में “मैं ऐसा नहीं कर सकता” या “मैं ऐसा करने में सक्षम नहीं हूँ” जैसे वाक्यांश ढूँढ़ता है और इनकार मिलने पर पहले Moonshot AI के ओपन-वेट Kimi K2 और फिर Google के Gemini 2.5 Flash को आज़माता है। विश्लेषण करने वाले Talos शोधकर्ता रयान फेटरमैन (Ryan Fetterman) ने Wired से कहा, “प्रॉम्प्ट को इस तरह काफ़ी सोच-समझकर तैयार किया गया है कि उसमें खुलकर किसी दुर्भावनापूर्ण काम का संकेत न मिले। लेकिन इसे बनाते समय यह मानकर चला गया है कि पहली बार अनुरोध करने पर मॉडल इनकार कर सकते हैं।”

अपराधियों को इसका सबसे बड़ा फ़ायदा है—तेज़ी। सेशन टोकन की मियाद खत्म हो जाती है और लोग पासवर्ड बदल लेते हैं, इसलिए जो पहले पता लगा ले कि किस पीड़ित के पास भरा-पूरा क्रिप्टो वॉलेट है या कंपनी की क्लाउड कुंजी, वही उसका इस्तेमाल कर सकता है। फेटरमैन ने कहा, “हम देख रहे हैं कि अब कम तकनीकी क्षमता वाले हमलावरों को भी ज़्यादा उन्नत सुविधाएँ उपलब्ध हो रही हैं।” Talos ने यह भी पाया कि Volta को एक उत्पाद की तरह बनाया गया है: हर कॉपी में खरीदार के अपने Telegram चैनल और API कुंजियों के लिए छह जगहें होती हैं, जिन्हें फ़ाइल संकलित करते समय भरा जाता है। इससे संकेत मिलता है कि इसका लेखक यह टूल दूसरे अपराधियों को बेचता है, जिन्हें फिर अपने Telegram इनबॉक्स में छाँटे हुए लक्ष्यों की रिपोर्ट सीधे मिलती है।

हालाँकि, इस खतरे की कुछ सीमाएँ भी हैं। Talos का कहना है कि उसने यह पता नहीं लगाया कि Volta का इस्तेमाल वास्तविक पीड़ितों के खिलाफ हुआ है या नहीं, और AI वाला चरण वैकल्पिक है: API कुंजी न होने पर भी मैलवेयर सारी जानकारी चुराता है, बस ब्यौरे वाली रिपोर्ट तैयार करना छोड़ देता है। बुनियादी तौर पर यह Windows पर चलने वाला एक आम सूचना-चोर मैलवेयर है, इसलिए इससे बचाव के सामान्य उपाय अब भी कारगर हैं। रसीदें ढूँढ़ने के लिए जिन दुकानों और सेवाओं को यह जाँचता है, वे लगभग सभी अमेरिकी हैं—इससे अंदाज़ा मिलता है कि इसे बनाने वालों ने किसे ध्यान में रखा था, हालाँकि चुराए गए पासवर्ड और वॉलेट की कीमत हर जगह एक जैसी है।

इसकी चपेट में आए लोगों के लिए Talos की सलाह साफ़ है: चालू सेशन और टोकन रद्द करें, पासवर्ड बदलें और अगर किसी क्रिप्टो वॉलेट की रिकवरी फ़्रेज़ कंप्यूटर पर एक सामान्य फ़ाइल में रखी थी, तो उसे खोया हुआ मानें। रकम को ऐसे नए वॉलेट में भेजें जिसे ऐसे डिवाइस पर बनाया गया हो जो कभी इंटरनेट से जुड़ा ही न हो। सूचना चुराने वाले मैलवेयर अक्सर पायरेटेड या नकली सॉफ़्टवेयर के साथ आते हैं, इसलिए सबसे सस्ता बचाव अब भी वही है—ऐसा सॉफ़्टवेयर न चलाएँ।

Talos ने अपना विश्लेषण 31 अक्टूबर को प्रकाशित किया, NIK C2 नाम के एक और आपराधिक टूलकिट के बारे में बताने के दो दिन बाद, जिसमें AI भी शामिल है। CrowdStrike के शोधकर्ताओं ने हाल ही में Wired को बताया कि उन्होंने चार हैकिंग समूहों को दुनिया भर में दर्जनों लक्ष्यों के खिलाफ AI टूल्स का इस्तेमाल करते देखा है। ये समूह चीनी, स्पैनिश और अंग्रेज़ी, इंडोनेशियाई और रूसी भाषाओं में काम कर रहे थे।

Talos का कहना है कि सुरक्षा विशेषज्ञों के सामने अब खुला सवाल यह है कि किसी आपराधिक अभियान का अगला कौन-सा हिस्सा मॉडल को सौंपा जाएगा। Volta में वह हिस्सा था जहाँ पहले कोई व्यक्ति बैठकर तय करता था कि किसे लूटना है।

टैग: साइबर सुरक्षा, Claude, Gemini, OpenRouter, Cisco Talos, Kimi K2