Cisco Talos beschreibt die Phase zur Einstufung von Opfern im LLM-Infostealer VOLTA

Der Cisco-Talos-Forscher Ryan Fetterman veröffentlichte am 31. Oktober 2026 eine Analyse von VOLTA-AUTODOXER, einem sich selbst löschenden Windows-Infostealer, der auf einen umfangreichen Durchlauf zum Diebstahl von Zugangsdaten eine LLM-Phase folgen lässt, die darauf ausgelegt ist, die monetarisierbaren Vermögenswerte jedes Opfers einzustufen.

Talos beschreibt VOLTA als ausgereiften Infostealer-Implantat mit einer optionalen KI-Integrationsschicht und erklärt, dass jeder beobachtete Endpunkt von Dritten kontrolliert wird und keine vom Angreifer betriebene Infrastruktur nutzt. Nach Einschätzung von Talos besteht die Neuheit der KI-Phase darin, dass das Modell im Auftrag des Betreibers als Geheimdienstanalyst arbeitet, anstatt eine herkömmliche Malware-Funktion zu unterstützen: Es wandelt ein rohes Protokoll gestohlener Zugangsdaten in ein nach Priorität geordnetes Dossier der monetarisierbaren Vermögenswerte des Opfers um, dessen Angaben durch Quellen belegt sind.

Die Malware wurde im Rahmen von Talos’ CAIRN-Forschungsprojekt entdeckt. Talos veröffentlichte CAIRN, das Cognitive Artifact Intelligence Research Network, am 22. September 2026 als Open-Source-Toolkit zum Aufspüren, Klassifizieren und Nachverfolgen KI-integrierter Malware anhand von Metadatenartefakten wie eingebetteten Prompts, Anbieter-Endpunkten und API-Schlüsseln – ohne die zugrunde liegenden Binärdateien herunterzuladen oder auszuführen. Bei der Veröffentlichung erklärte Talos, die ersten Erkenntnisse nach und nach bekannt zu geben, beginnend mit CLOSEDQUORUM, einem Implantat, das das Unternehmen als vollständig autonomen Orchestrator für den Konsens mehrerer Modelle ohne menschlichen Betreiber beschrieb.

Datenerfassung und Anreicherung von Sitzungsdaten

Bei einem einzigen Durchlauf extrahiert VOLTA Browser-Zugangsdaten, Cookies und gespeicherte Zahlungskarten aus Chromium-basierten Browsern sowie Daten aus Firefox und Thunderbird, Outlook-Profile, Slack-Arbeitsbereiche, Steam- und Battle.net-Sitzungen, Discord-Tokens, Telegram-Sitzungen, Roblox-Konten, Microsoft-OAuth-Tokens, SSH- und Cloud-Anbieterkonfigurationsdateien für gcloud, OpenVPN und Hide.me, WLAN-Profile und Screenshots. Statt Kryptowährungs-Wallets einfach nur zu kopieren, führt der Infostealer während desselben Durchlaufs einen integrierten Cracker auf den Wallet-Tresor aus und vermerkt das Ergebnis in seinem eigenen Bericht in einer Zeile mit der Bezeichnung WALLET VAULTS CRACKED. Ein direkter Aufruf von WlanGetProfileList gibt jedes auf dem Gerät gespeicherte WLAN-Passwort im Klartext aus.

Anschließend nutzt ein aktiver Anreicherungsdurchlauf die gestohlenen Sitzungen erneut. Mit den authentifizierten Gmail-Tokens des Opfers durchsucht VOLTA den Posteingang nach Belegen von Amazon, DoorDash, Uber Eats, Grubhub, Walmart und PayPal, um eine Wohnanschrift zu bestätigen. Außerdem ruft es direkt den Bestellverlauf bei Uber Eats und DoorDash ab, reichert über das gestohlene Token das Discord-Profil des Opfers an und bewertet dessen Roblox-Inventar mithilfe einer Live-Abfrage bei Rolimons.com. Das gesammelte Material wird lokal zu einem strukturierten Beweispaket zusammengestellt, das Geolokalisierung und Wohnanschrift, Arbeitgeber und Arbeitgeber-Domain, das erschlossene Geburtsjahr, die letzten vier Ziffern der Karte, Slack-Arbeitsbereiche, Metadaten zur Urheberschaft von Dokumenten und Hinweise auf iPhone-Backups enthält. Anschließend wird es als Identity_Report.txt gespeichert und in JSON serialisiert.

Die vom Modell zurückgegebene Bewertung wird als AI_Analysis.txt gespeichert. Die Exfiltration kann in drei zeitlich gestaffelten Archiven erfolgen: volta_log.zip nach Ausführung des Infostealers, volta_dox.zip nach dem KI-Aufruf und volta_doxnet.zip, falls die Netzwerkanreicherung Ergebnisse liefert.

Die Einstufungsphase über OpenRouter

Das serialisierte Datenpaket wird per POST an den Chat-Completions-Endpunkt von OpenRouter gesendet. Ein System-Prompt weist das Modell an, als „forensischer Geheimdienstanalyst, der eine Zielpersonenbewertung erstellt“ zu agieren. Die verlangte Ausgabe umfasst einen Abschnitt mit der Überschrift WAS SIE WERT SIND, in dem die Wertgegenstände des Opfers nach ihrem Monetarisierungswert in die Kategorien niedrig, mittel und hoch eingestuft werden, sowie einen Abschnitt mit der Überschrift IHRE OPSEC, in dem die Sicherheitslage und der sorgfältige Umgang des Opfers mit Passwörtern bewertet werden. Der Prompt fordert das Modell außerdem dazu auf, spärliche Datenpunkte miteinander zu verknüpfen, etwa den Namen, die Anschrift oder die Universität eines Opfers mit Mustern in dessen Passwörtern. Talos merkt an, dass das Modell nicht so sehr Daten finden, sondern vielmehr Schlussfolgerungen ziehen soll, die den Wert der bereits abgegriffenen Informationen erhöhen.

In der fest codierten Konfiguration ist anthropic/claude-opus-4.6 als Standardmodell festgelegt. Die Ausweichkette umfasst zunächst moonshotai/kimi-k2 und anschließend google/gemini-2.5-flash. Hinzu kommen eine Temperatur von 0,2 und manuell zusammengestellte JSON-Anfragen ohne SDK sowie ein Mozilla/5.0 User-Agent. Laut Talos deutet die niedrige Temperatur darauf hin, dass der Betreiber Genauigkeit und Konsistenz priorisiert. Die gestaffelte Ausweichkette beschreibe einen Wechsel zu kleineren, weniger restriktiven Modellen, wenn Ablehnungen erfolgen.

VOLTA prüft jede Modellantwort auf Ablehnungsformulierungen wie „Das kann ich nicht“, bevor es in einer Kette mit bis zu drei Modellen zum nächsten Modell wechselt. Fehlt ein API-Schlüssel, kann die Malware vollständig ohne die LLM-Phase ausgeführt werden. Der gesamte Inferenz-Ablauf findet auf dem Gerät des Opfers und über dessen eigene Netzwerkverbindung statt; erst danach wird das Ergebnis exfiltriert.

Bereitstellung über einen Builder und Gegenmaßnahmen

Anstatt seinen Telegram-Kanal, seine API-Schlüssel und Einstellungen fest einzuprogrammieren, wird VOLTA aus einer Vorlage kompiliert, deren sechs austauschbare Felder beim Erstellen befüllt werden. Laut Talos deutet dies auf ein Modell hin, bei dem der Urheber Zugang verkauft, die Käufer ihre eigenen Werte bereitstellen und für jede Bestellung eine eigene Binärdatei kompiliert wird. Sollte dieses Modell zutreffen, handelt es sich bei dem KI-Dossier laut Analyse um eine kommerzielle Funktion, mit der Kunden jeder Erfahrungsstufe Bewertungen potenzieller Ziele in einer Rangfolge in ihrem Telegram-Posteingang erhalten können – und nicht um eine Funktion, die der Urheber für den persönlichen Gebrauch entwickelt hat. Die Zugangsdaten in den Feldern werden mit einem Schlüssel verschlüsselt, der als SHA-256 aus zwei Konstanten abgeleitet wird, die sich in derselben Binärdatei befinden. Laut Talos bietet dies keinen nennenswerten Schutz, da jeder, der die Datei mittels Reverse Engineering untersucht, die Werte wiederherstellen kann.

Ein großer Teil des Token-Diebstahls durch VOLTA hängt davon ab, dass die App-Bound Encryption in Chrome umgangen wird. Laut Talos würde eine Anwendungssteuerungsrichtlinie, die einschränkt, welche Prozesse Chrome mit dem Headless-Flag starten dürfen, diesen Entschlüsselungsweg vollständig blockieren. Mindestens empfiehlt Talos, eine Warnung auszulösen, wenn Chrome von einem unerwarteten Prozess im Headless-Modus gestartet wird, und Zugangsdaten hardwaregestützt zu speichern. Nach einem Sicherheitsvorfall rät Talos, die Datei volta_debug.txt aufzubewahren. Sie enthält ein mit Zeitstempeln versehenes Protokoll der Datenbeschaffung, aus dem genau hervorgeht, was erfasst wurde und ob der LLM-Aufruf erfolgreich war. Anschließend sollten potenziell kompromittierte Token widerrufen und Passwörter geändert werden. Jede Wallet, deren Seed-Phrase unverschlüsselt auf einem Datenträger lag, sollte als vollständig kompromittiert gelten. Das Guthaben sollte auf eine neue Wallet übertragen werden, deren Seed auf einem netzwerkisolierten Gerät generiert wurde.

Talos zufolge besteht die Verbesserung durch die KI-Komponente nicht in höherer Geschwindigkeit oder größerem Umfang, sondern in einer Verlagerung des Aufwands. Dahinter steckt dieselbe grundlegende Logik, die Talos bereits bei CLOSEDQUORUM festgestellt hat, hier jedoch auf eine andere Phase des Vorgehens angewandt. Mit zunehmender Reife der KI-Integration in Malware könnte die Widerstandsfähigkeit gegenüber Verweigerungen laut Analyse zu einer standardmäßigen Designanforderung werden.

Talos führt die untersuchte Datei als PE32+-Binärdatei für x86-64 mit dem SHA-256-Hash 57ef4242666d78c50df145b34023df564f0fad38812d6a580e66433d427e2279 auf. Sie wurde unter den Dateinamen 9BY0tjwOc3ut.exe und yLP9m5J3i2Aw.exe beobachtet, trägt einen PE-Zeitstempel vom 17. August 2026 und wurde erstmals am 11. Oktober 2026 um 12:46 UTC gesichtet.