Cisco Talos、VOLTA情報窃取マルウェアのLLMによる被害者ランキング段階を詳述

Cisco Talosの研究者Ryan Fettermanは2026年10月31日、分析を公開した。対象となったVOLTA-AUTODOXERは、自己削除機能を備えたWindows向け情報窃取マルウェアで、広範な認証情報の窃取に続き、大規模言語モデルを使って各被害者の換金可能な資産を順位付けする段階を実行する。

Talosは、VOLTAを任意でAI統合レイヤーを利用できる成熟した情報窃取型インプラントと説明している。また、観測されたすべてのエンドポイントは第三者が管理するもので、攻撃者が所有するインフラは確認されていないという。Talosの評価によれば、AI段階の新規性は、従来型のマルウェア機能を支援するのではなく、モデルが運用者に代わって情報分析者として機能する点にある。生の認証情報ログを、引用情報に裏付けられた、被害者の換金可能な資産を優先順位付けした記録に変換する。

このマルウェアは、TalosのCAIRNの研究活動を通じて確認された。Talosは2026年9月22日、Cognitive Artifact Intelligence Research NetworkであるCAIRNをオープンソース化し、基盤となるバイナリをダウンロードしたり実行したりせずに、埋め込みプロンプト、プロバイダーのエンドポイント、APIキーなどのメタデータ上の痕跡を使って、AI統合型マルウェアを探索、分類、追跡するためのツールキットとして公開した。Talosは公開時、初期調査の結果を順次共有すると述べ、最初に、人的な運用者を必要としない完全自律型のマルチモデル合意形成オーケストレーターと説明したインプラント、CLOSEDQUORUMを取り上げた。

収集とセッションの情報拡充

VOLTAは1回の処理で、Chromiumベースのブラウザーに保存された認証情報、Cookie、支払いカード情報に加え、FirefoxとThunderbirdのデータ、Outlookのプロファイル、Slackのワークスペース、SteamとBattle.netのセッション、Discordのトークン、Telegramのセッション、Robloxのアカウント、Microsoft OAuthトークン、gcloud、OpenVPN、Hide.meのSSHおよびクラウドプロバイダー設定ファイル、Wi-Fiプロファイル、スクリーンショットを抽出する。暗号資産ウォレットを単にコピーするのではなく、同じ処理中にウォレット保管庫を対象とするクラッカーを組み込みで実行し、その結果を独自レポートの「WALLET VAULTS CRACKED」という行に記録する。さらに、WlanGetProfileListを直接呼び出して、ホストに保存されたすべてのWi-Fiパスワードを平文で抜き出す。

続いて、リアルタイムの情報拡充処理で盗み取ったセッションを再利用する。被害者自身の認証済みGmailトークンを使い、VOLTAは受信トレイからAmazon、DoorDash、Uber Eats、Grubhub、Walmart、PayPalの領収書を検索し、自宅住所を裏付ける。さらに、Uber EatsとDoorDashの注文履歴を直接取得し、盗み取ったトークンを通じて被害者のDiscordプロフィールの情報を拡充するとともに、Rolimons.comにリアルタイムで照会してRobloxの所持アイテムの価値を算定する。収集した情報は端末上で構造化された証拠データにまとめられる。そこには、位置情報と自宅住所、勤務先と勤務先のドメイン、推定出生年、カード番号の末尾4桁、Slackのワークスペース、文書の作成者メタデータ、iPhoneのバックアップを示す情報が含まれる。その後、Identity_Report.txtとして保存され、JSON形式にシリアル化される。

モデルが返した評価はAI_Analysis.txtとして保存される。情報の持ち出しは段階的に行われる3種類のアーカイブを通じて実行される可能性がある。マルウェアの実行後に作成されるvolta_log.zip、AIへの問い合わせ後に作成されるvolta_dox.zip、ネットワーク経由の情報拡充で何らかの情報が得られた場合に作成されるvolta_doxnet.zipである。

OpenRouterによるランキング段階

シリアル化されたデータは、モデルに「標的評価を作成するフォレンジック情報分析者」として振る舞うよう指示するシステムプロンプトとともに、OpenRouterのチャット補完エンドポイントへPOSTリクエストで送信される。出力には、「換金価値」のセクションが必須で、被害者の貴重品を換金価値に基づいて低・中・高の各段階に順位付けする。また、「OPSEC（運用上のセキュリティ）」のセクションでは、被害者のセキュリティ対策とパスワード管理の状況を評価する。さらにプロンプトは、被害者の氏名、住所、大学などをパスワードの傾向と結び付けるといった、限られたデータ間の関連性を推論するようモデルに促す。Talosによれば、モデルに求められているのはデータの探索というより、すでに収集した情報の価値を高める推論である。

ハードコードされた設定では、デフォルトモデルにanthropic/claude-opus-4.6を指定し、フォールバック先としてmoonshotai/kimi-k2、続いてgoogle/gemini-2.5-flashを設定している。温度は0.2で、SDKを使わずに手作業で組み立てたJSONリクエストを送信し、User-AgentにはMozilla/5.0を使用する。Talosは、温度が低いことから、運用者が正確性と一貫性を重視していると考えられると述べている。また、連鎖的なモデル切り替えについては、拒否が発生した場合に、より小規模で制限の緩いモデルへ移行する仕組みと説明している。

VOLTAは最大3つのモデルを順に試し、次のモデルへ移る前に「I can’t」のような拒否表現が応答に含まれていないか確認する。また、APIキーが存在しない場合は、LLM段階を完全に省略して実行できる。推論の往復処理全体は被害者の端末上で、被害者自身のネットワーク接続を介して行われ、結果が持ち出されるのはその後に限られる。

ビルダーによる配布と対策

Telegramのチャンネル、APIキー、設定をあらかじめハードコードするのではなく、VOLTAはビルド時に差し替え可能な6つのスロットを埋めるテンプレートからコンパイルされます。Talosによると、これはビルダー型のモデルを示しています。このモデルでは、作成者がアクセス権を販売し、購入者が独自の値を提供すると、注文ごとにカスタムバイナリーがコンパイルされます。分析では、このモデルが実態を反映しているなら、AIによる分析資料は商用機能であり、専門知識のレベルを問わず顧客がTelegramの受信箱で標的の評価を順位付きで受け取れるようにするものだと指摘しています。つまり、作成者が個人利用のために構築した機能ではありません。スロットの認証情報は、同じバイナリー内にある2つの定数からSHA-256で導出した鍵を使って暗号化されています。しかしTalosによると、ファイルをリバースエンジニアリングすれば誰でも認証情報を復元できるため、実質的な保護にはなりません。

VOLTAによるトークン窃取の多くは、ChromeのApp-Bound Encryptionを回避することに依存しています。Talosによると、ヘッドレスフラグを付けてChromeを起動できるプロセスを制限するアプリケーション制御ポリシーを導入すれば、この復号経路を完全に遮断できます。また、少なくとも、予期しないプロセスからChromeがヘッドレスで起動した場合に警告を出すことと、ハードウェアで保護された認証情報の保管を推奨しています。侵害が発生した後は、収集された情報の内容とLLMの呼び出しが成功したかどうかを正確に記録した、タイムスタンプ付きの収集ログであるvolta_debug.txtファイルを保存したうえで、侵害された可能性のあるトークンを失効させ、パスワードを変更するようTalosは助言しています。シードフレーズがディスク上に平文で保存されていたウォレットは、完全に侵害されたものとして扱い、エアギャップ環境のデバイスでシードを生成した新しいウォレットに資金を移す必要があります。

Talosの見立てでは、AIレイヤーがもたらす改善は、速度や規模の向上ではなく、作業の肩代わりです。これは、TalosがCLOSEDQUORUMで指摘したものと同じ根本的な仕組みを、作戦の異なる段階に適用したものです。マルウェアへのAI統合が進むにつれて、分析では、拒否への耐性が標準的な設計要件になる可能性があると結論づけています。

Talosによると、分析対象のサンプルはPE32+ x86-64バイナリーで、SHA-256ハッシュは57ef4242666d78c50df145b34023df564f0fad38812d6a580e66433d427e2279です。ファイル名は9BY0tjwOc3ut.exeおよびyLP9m5J3i2Aw.exeで確認されており、PEタイムスタンプは2026年8月17日、最初に確認されたのは2026年10月11日12:46 UTCです。