Cisco Talos beskriver VOLTA-infotyvens fase, hvor LLM rangerer ofre

Cisco Talos-forskeren Ryan Fetterman offentliggjorde den 31. oktober 2026 en analyse af VOLTA-AUTODOXER, en selv-slettende Windows-infotyv, der efter en omfattende omgang med tyveri af legitimationsoplysninger bruger en fase med en stor sprogmodel, som skal rangordne hvert offers aktiver, der kan omsættes til penge.

Talos beskriver VOLTA som en moden tyveimplantat med et valgfrit AI-integrationslag og oplyser, at alle observerede slutpunkter kontrolleres af tredjeparter, og at der ikke indgår nogen angriberejet infrastruktur. Ifølge Talos er det nye ved AI-fasen, at modellen fungerer som efterforsker på operatørens vegne i stedet for at understøtte en traditionel malwarefunktion. Den omdanner en rå log over stjålne legitimationsoplysninger til en prioriteret dossier over offerets aktiver, der kan omsættes til penge, underbygget af kildehenvisninger.

Malwaren blev først afdækket gennem Talos’ CAIRN-forskningsprojekt. Den 22. september 2026 udgav Talos CAIRN, Cognitive Artifact Intelligence Research Network, som et open source-værktøjssæt til at opspore, klassificere og spore malware med AI-integration ved hjælp af metadataartefakter som indlejrede prompts, udbyderendepunkter og API-nøgler – uden at downloade eller køre de underliggende binærfiler. Ved udgivelsen sagde Talos, at de ville dele deres første resultater løbende, begyndende med CLOSEDQUORUM, et implantat, som de beskrev som en fuldt autonom konsensusorkestrator med flere modeller og uden en menneskelig operatør.

Indsamling og berigelse af sessioner

En enkelt VOLTA-kørsel henter browserlegitimationsoplysninger, cookies og gemte betalingskort fra Chromium-baserede browsere samt data fra Firefox og Thunderbird, Outlook-profiler, Slack-arbejdsområder, Steam- og Battle.net-sessioner, Discord-tokens, Telegram-sessioner, Roblox-konti, Microsoft OAuth-tokens, konfigurationsfiler til SSH og cloududbydere for gcloud, OpenVPN og Hide.me, Wi-Fi-profiler og skærmbilleder. I stedet for blot at kopiere kryptovaluta-wallets kører tyveprogrammet en indlejret adgangskodeknækker mod walletens nøglelager i samme omgang og registrerer resultatet på linjen WALLET VAULTS CRACKED i sin egen rapport. Et direkte kald til WlanGetProfileList dumper alle gemte Wi-Fi-adgangskoder på værten i klartekst.

Derefter genbruger en aktiv berigelsesfase de stjålne sessioner. Med offerets egne godkendte Gmail-tokens søger VOLTA i indbakken efter kvitteringer fra Amazon, DoorDash, Uber Eats, Grubhub, Walmart og PayPal for at bekræfte en hjemmeadresse. Programmet henter direkte ordrehistorik fra Uber Eats og DoorDash, beriger offerets Discord-profil via det stjålne token og værdiansætter Roblox-beholdningen ved at slå den op direkte på Rolimons.com. De indsamlede oplysninger samles lokalt i en struktureret evidenspakke med geolokation og hjemmeadresse, arbejdsgiver og arbejdsgiverens domæne, anslået fødselsår, kortets sidste fire cifre, Slack-arbejdsområder, metadata om dokumentforfatterskab og tegn på iPhone-sikkerhedskopier. Pakken gemmes derefter som Identity_Report.txt og serialiseres som JSON.

Modellens returnerede vurdering gemmes som AI_Analysis.txt, og data kan eksfiltreres i tre arkiver, der oprettes i forskellige faser: volta_log.zip efter tyveprogrammet har kørt, volta_dox.zip efter AI-kaldet og volta_doxnet.zip, hvis netværksberigelsen giver resultater.

Rangeringsfasen i OpenRouter

Den serialiserede pakke sendes med POST til OpenRouters chat-completions-endepunkt med en systemprompt, der instruerer modellen i at optræde som »en efterretningsanalytiker inden for kriminalteknisk efterforskning, der udarbejder en målvurdering«. Det krævede output skal indeholde afsnittet HVAD DE ER VÆRD, som rangerer offerets værdigenstande efter deres værdi ved omsætning i kategorierne lav, mellem og høj, samt afsnittet DERES OPSEC, som vurderer offerets sikkerhedsniveau og adgangskodevaner. Prompten tilskynder også modellen til at forbinde sparsomme datapunkter, for eksempel ved at knytte et offers navn, adresse eller universitet til mønstre i adgangskoderne. Talos bemærker, at modellen ikke så meget bliver bedt om at finde data som om at drage slutninger, der øger værdien af de oplysninger, der allerede er indsamlet.

Den fastkodede konfiguration bruger anthropic/claude-opus-4.6 som standardmodel med en fallbackkæde bestående af moonshotai/kimi-k2 og derefter google/gemini-2.5-flash, en temperatur på 0,2 og håndsammensatte JSON-anmodninger uden SDK samt en Mozilla/5.0 User-Agent. Talos siger, at den lave temperatur tyder på, at operatøren lægger vægt på nøjagtighed og ensartethed, og beskriver kæden af modeller som et skift til mindre, mere eftergivende modeller, når der opstår afvisninger.

VOLTA kontrollerer hvert modelsvar for afvisningsformuleringer som »Det kan jeg ikke«, før programmet går videre ned gennem en kæde på højst tre modeller. Det kan også køre helt uden LLM-fasen, hvis der ikke findes nogen API-nøgle. Hele inferensforløbet foregår på offerets maskine via offerets egen netværksforbindelse; først derefter eksfiltreres resultatet.

Udrulning med byggeværktøj og modforanstaltninger

I stedet for at hardkode sin Telegram-kanal, sine API-nøgler og sine indstillinger kompileres VOLTA ud fra en skabelon med seks udskiftelige felter, der udfyldes ved byggetidspunktet. Ifølge Talos peger det på en model, hvor udvikleren sælger adgang, køberne angiver deres egne værdier, og der kompileres en tilpasset binærfil for hver bestilling. Hvis den model holder stik, bemærker analysen, er AI-dossieret en kommerciel funktion, der giver kunder på alle tekniske niveauer mulighed for at modtage prioriterede vurderinger af mål i en Telegram-indbakke, snarere end en funktion, udvikleren har skabt til eget brug. Felternes legitimationsoplysninger krypteres med en nøgle, der er afledt som SHA-256 af to konstanter i den samme binærfil. Ifølge Talos giver det ingen reel beskyttelse, fordi enhver, der reverse-engineerer filen, kan genskabe dem.

En stor del af VOLTAs tyveri af tokens afhænger af, at App-Bound Encryption i Chrome omgås. Ifølge Talos vil en politik for programstyring, der begrænser, hvilke processer der må starte Chrome med headless-flaget, helt blokere denne dekrypteringsvej. Som minimum anbefaler Talos at oprette en alarm, når Chrome startes headless fra en uventet proces, samt at bruge hardwareunderstøttet lagring af legitimationsoplysninger. Efter et sikkerhedsbrud anbefaler Talos, at man gemmer filen volta_debug.txt, en log med tidsstempler, der registrerer præcis, hvad der blev indsamlet, og om LLM-kaldet lykkedes, og derefter tilbagekalder potentielt kompromitterede tokens og ændrer adgangskoder. Enhver tegnebog, hvis seed phrase har ligget i klartekst på en disk, bør betragtes som fuldt kompromitteret, og midlerne bør overføres til en ny tegnebog med en seed, der genereres på en netværksisoleret enhed.

I Talos’ udlægning består den forbedring, AI-laget medfører, i at flytte arbejdsindsatsen snarere end at øge hastigheden eller omfanget – den samme grundlæggende logik, som Talos identificerede i CLOSEDQUORUM, men anvendt på en anden fase af operationen. Analysen konkluderer, at modstandsdygtighed over for afvisninger kan blive et standardkrav til designet, efterhånden som AI-integration i malware modnes.

Talos angiver, at den analyserede prøve er en PE32+ x86-64-binærfil med SHA-256-hashen 57ef4242666d78c50df145b34023df564f0fad38812d6a580e66433d427e2279, observeret under filnavnene 9BY0tjwOc3ut.exe og yLP9m5J3i2Aw.exe. Den har et PE-tidsstempel fra 17. august 2026 og blev først set kl. 12:46 UTC den 11. oktober 2026.