Cisco Talos kertoo VOLTA-tietovarastajan LLM-pohjaisesta uhrien arvottamisvaiheesta

Cisco Talosin tutkija Ryan Fetterman julkaisi 31. lokakuuta 2026 analyysin VOLTA-AUTODOXERista, itsensä poistavasta Windows-tietovarastajasta, joka laajan tunnistetietojen varastamisvaiheen jälkeen käyttää suurta kielimallia uhrien rahaksi muutettavissa olevien omaisuuserien arvottamiseen.

Talosin mukaan VOLTA on kehittynyt tietovarastajaimplantti, jossa on valinnainen tekoälyintegraatiokerros. Kaikki havaitut päätepisteet ovat kolmansien osapuolten hallinnassa, eikä hyökkääjillä ole omaa infrastruktuuria. Talosin arvion mukaan tekoälyvaiheen uutuus on siinä, että malli toimii operaattorin puolesta tiedusteluanalyytikkona eikä tue perinteistä haittaohjelmatoimintoa: se muuntaa raakamuotoisen tunnistetietolokin priorisoiduksi, lähdeviittein perustelluksi luetteloksi uhrin rahaksi muutettavissa olevista omaisuuseristä.

Haittaohjelma tuli esiin Talosin CAIRN-tutkimushankkeen yhteydessä. Talos julkaisi CAIRNin eli Cognitive Artifact Intelligence Research Networkin avoimena lähdekoodina 22. syyskuuta 2026. Se on työkalupakki tekoälyä hyödyntävien haittaohjelmien etsimiseen, luokitteluun ja jäljittämiseen metatietoartefaktien, kuten upotettujen kehotteiden, palveluntarjoajien päätepisteiden ja API-avainten, avulla ilman, että varsinaisia binääritiedostoja tarvitsee ladata tai suorittaa. Talos kertoi julkaisun yhteydessä jakavansa alustavia havaintojaan ajan mittaan. Ensimmäisenä vuorossa oli CLOSEDQUORUM, implantti, jota Talos kuvaili täysin autonomiseksi, usean mallin konsensusta koordinoivaksi järjestelmäksi, jolla ei ole ihmisoperaattoria.

Tietojen kerääminen ja istuntojen täydentäminen

Yhdellä VOLTA-ajokerralla kerätään Chromium-pohjaisten selainten tunnistetiedot, evästeet ja tallennetut maksukortit sekä Firefoxin ja Thunderbirdin tiedot, Outlook-profiilit, Slack-työtilat, Steam- ja Battle.net-istunnot, Discord-tunnukset, Telegram-istunnot, Roblox-tilit, Microsoft OAuth -tunnukset, gcloudin, OpenVPN:n ja Hide.me:n SSH- ja pilvipalveluntarjoajien määritystiedostot, Wi-Fi-profiilit ja kuvakaappaukset. Sen sijaan, että tietovarastaja vain kopioisi kryptovaluuttalompakot, se suorittaa saman ajokerran aikana upotetun murtotyökalun lompakon holviin ja kirjaa tuloksen omaan raporttiinsa riville WALLET VAULTS CRACKED. Suoralla WlanGetProfileList-kutsulla haetaan isäntäkoneelle tallennetut Wi-Fi-salasanat selväkielisinä.

Seuraavaksi reaaliaikaisessa tietojen täydentämisvaiheessa käytetään varastettuja istuntoja uudelleen. VOLTA etsii uhrin omilla todennetuilla Gmail-tunnisteilla saapuneista viesteistä Amazonin, DoorDashin, Uber Eatsin, Grubhubin, Walmartin ja PayPalin kuitteja varmistaakseen kotiosoitteen. Se hakee suoraan Uber Eatsin ja DoorDashin tilaushistorian, täydentää uhrin Discord-profiilia varastetun tunnuksen avulla ja arvioi Roblox-varaston reaaliaikaisella Rolimons.com-haulla. Kerätyt tiedot kootaan paikallisesti jäsennellyksi todistusaineistopaketiksi, joka sisältää maantieteellisen sijainnin ja kotiosoitteen, työnantajan ja tämän verkkotunnuksen, päätellyn syntymävuoden, maksukortin neljä viimeistä numeroa, Slack-työtilat, asiakirjojen tekijyysmetatiedot ja tiedot iPhonen varmuuskopioista. Paketti tallennetaan sitten nimellä Identity_Report.txt ja sarjallistetaan JSON-muotoon.

Mallin palauttama arvio tallennetaan nimellä AI_Analysis.txt, ja tietojen ulossiirto voi tapahtua kolmessa peräkkäisessä arkistossa: volta_log.zip tietovarastajan suorituksen jälkeen, volta_dox.zip tekoälykutsun jälkeen ja volta_doxnet.zip, jos verkkoyhteyden kautta tehtävä tietojen täydentäminen tuottaa tuloksia.

OpenRouterin arvottamisvaihe

Sarjallistettu paketti lähetetään POST-pyyntönä OpenRouterin chat-completions-päätepisteeseen. Järjestelmäkehotteessa mallia pyydetään toimimaan ”rikosteknisen tiedustelun analyytikkona, joka laatii kohdearvion”. Vaadittuun tulosteeseen kuuluu OSIO ”MITÄ HE OVAT ARVOLTAAN”, jossa uhrin arvotavarat järjestetään rahaksi muuttamisen arvon mukaan mataliin, keskitasoisiin ja korkeisiin luokkiin, sekä OSIO ”HEIDÄN OPSEC-KÄYTÄNTÖNSÄ”, jossa arvioidaan uhrin tietoturvan tasoa ja salasanojen käyttötapoja. Kehote kannustaa mallia myös yhdistämään vähäisiä tietopisteitä toisiinsa, esimerkiksi yhdistämään uhrin nimen, osoitteen tai yliopiston salasanoissa esiintyviin kaavoihin. Talos huomauttaa, ettei mallia varsinaisesti pyydetä etsimään tietoja, vaan tekemään päätelmiä, jotka kasvattavat jo kerättyjen tietojen arvoa.

Kiinteästi ohjelmoitua määritystä käytettäessä oletusmalli on anthropic/claude-opus-4.6, ja varalla on malliketju moonshotai/kimi-k2 ja sen jälkeen google/gemini-2.5-flash. Lämpötila on 0,2, ja JSON-pyynnöt kootaan käsin ilman SDK:ta; User-Agent-arvona käytetään Mozilla/5.0. Talosin mukaan matala lämpötila viittaa siihen, että operaattori painottaa tarkkuutta ja yhdenmukaisuutta. Talos kuvailee ketjumaista varamallien käyttöä siirtymiseksi pienempiin, sallivampiin malleihin silloin, kun mallit kieltäytyvät vastaamasta.

VOLTA tarkistaa kunkin mallin vastauksesta kieltäytymisilmauksia, kuten ”En voi”, ennen siirtymistään enintään kolmen mallin ketjussa seuraavaan. Se voi toimia myös kokonaan ilman LLM-vaihetta, jos API-avainta ei ole. Koko päättelykierros tapahtuu uhrin koneella ja tämän verkkoyhteyden kautta; tulos siirretään ulos vasta sen jälkeen.

Rakentajalla tehtävä käyttöönotto ja torjuntatoimet

Sen sijaan, että VOLTAan kovakoodattaisiin sen Telegram-kanava, API-avaimet ja asetukset, se käännetään mallipohjasta, jossa on kuusi vaihdettavaa paikkaa, jotka täytetään koontivaiheessa. Talosin mukaan tämä viittaa rakentajamalliin, jossa tekijä myy käyttöoikeuksia, ostajat antavat omat arvonsa ja jokaisesta tilauksesta käännetään mukautettu binääritiedosto. Jos tämä pitää paikkansa, analyysin mukaan tekoälyyn perustuva kohdeanalyysi on kaupallinen ominaisuus, jonka avulla minkä tahansa tasoinen asiakas voi saada kohteiden paremmuusjärjestykseen asetetut arviot Telegram-postilaatikkoonsa. Kyse ei siis ole ominaisuudesta, jonka tekijä olisi kehittänyt henkilökohtaiseen käyttöönsä. Paikkojen tunnistetiedot salataan avaimella, joka johdetaan samassa binääritiedostossa olevien kahden vakion SHA-256-tiivisteestä. Talosin mukaan tämä ei tarjoa merkityksellistä suojaa, sillä tiedoston käänteismallintamalla kuka tahansa voi palauttaa tunnistetiedot.

Suuri osa VOLTAn tunnistevarkauksista perustuu Chromen App-Bound Encryption -suojauksen kiertämiseen. Talosin mukaan sovellusten hallintakäytäntö, joka rajoittaa prosesseja, joiden sallitaan käynnistää Chrome headless-lipukkeella, estäisi salauksen purkamisen kokonaan. Vähintään Talos suosittelee hälyttämään, jos Chrome käynnistetään headless-tilassa odottamattomasta prosessista, sekä käyttämään laitteistopohjaista tunnistetietojen tallennusta. Tietomurron jälkeen Talos neuvoo säilyttämään volta_debug.txt-tiedoston, joka on aikaleimallinen keräysloki ja josta käy tarkasti ilmi, mitä kerättiin ja onnistuiko LLM-kutsu. Sen jälkeen mahdollisesti vaarantuneet tunnisteet tulee mitätöidä ja salasanat vaihtaa. Lompakkoa, jonka siemenlause on ollut levyllä selkokielisenä, on pidettävä täysin vaarantuneena. Varat tulee siirtää uuteen lompakkoon, jonka siemen on luotu verkosta eristetyllä laitteella.

Talosin mukaan tekoälykerroksen tuoma parannus siirtää työpanosta muualle sen sijaan, että se lisäisi nopeutta tai laajuutta. Taustalla on sama logiikka, jonka Talos tunnisti CLOSEDQUORUMissa, mutta sitä sovelletaan operaation eri vaiheeseen. Analyysin mukaan kieltäytymisten sietäminen saattaa muodostua vakiomuotoiseksi suunnitteluvaatimukseksi, kun tekoälyn integrointi haittaohjelmiin kehittyy.

Talos luettelee analysoidun näytteen PE32+ x86-64 -binääritiedostoksi, jonka SHA-256-tiiviste on 57ef4242666d78c50df145b34023df564f0fad38812d6a580e66433d427e2279. Näyte havaittiin tiedostonimillä 9BY0tjwOc3ut.exe ja yLP9m5J3i2Aw.exe. Sen PE-aikaleima on 17. elokuuta 2026, ja se havaittiin ensimmäisen kerran 11. lokakuuta 2026 kello 12.46 UTC.