Cisco Talos licht de fase toe waarin VOLTA-infostealer slachtoffers rangschikt met een LLM

Cisco Talos-onderzoeker Ryan Fetterman publiceerde op 31 oktober 2026 een analyse van VOLTA-AUTODOXER, een Windows-infostealer die zichzelf verwijdert en na een brede ronde van diefstal van inloggegevens een fase met een groot taalmodel uitvoert, bedoeld om de te gelde te maken bezittingen van elk slachtoffer te rangschikken.

Talos beschrijft VOLTA als een volwassen stealerimplantaat met een optionele AI-integratielaag. Volgens Talos wordt elk waargenomen eindpunt beheerd door een derde partij en is er geen infrastructuur in handen van de aanvaller. Talos beoordeelt de nieuwigheid van de AI-fase als volgt: het model treedt namens de operator op als inlichtingenanalist, in plaats van een traditionele malwarefunctie te ondersteunen. Het zet een ruwe log met inloggegevens om in een geprioriteerd dossier van de te gelde te maken bezittingen van het slachtoffer, onderbouwd met verwijzingen.

De malware kwam aan het licht via het CAIRN-onderzoek van Talos. Talos bracht CAIRN, het Cognitive Artifact Intelligence Research Network, op 22 september 2026 uit als opensourcetoolkit voor het opsporen, classificeren en volgen van malware met AI-integratie aan de hand van metadata-indicatoren, zoals ingebedde prompts, provider-eindpunten en API-sleutels, zonder de onderliggende binaire bestanden te downloaden of uit te voeren. Talos zei bij de release dat het zijn eerste bevindingen in de loop van de tijd zou delen, te beginnen met CLOSEDQUORUM, een implantaat dat het omschreef als een volledig autonome orkestrator voor consensus tussen meerdere modellen, zonder menselijke operator.

Verzameling en verrijking van sessies

Eén VOLTA-scan haalt browserinloggegevens, cookies en opgeslagen betaalkaarten op uit browsers op basis van Chromium, evenals gegevens van Firefox en Thunderbird, Outlook-profielen, Slack-werkruimten, Steam- en Battle.net-sessies, Discord-tokens, Telegram-sessies, Roblox-accounts, Microsoft OAuth-tokens, SSH- en cloudproviderconfiguratiebestanden voor gcloud, OpenVPN en Hide.me, wifi-profielen en schermafbeeldingen. In plaats van cryptocurrency-wallets alleen maar te kopiëren, voert de stealer tijdens dezelfde scan een ingebouwde kraaktool uit op de walletkluis en noteert het resultaat op een regel met de tekst WALLET VAULTS CRACKED in het eigen rapport. Met een rechtstreekse aanroep van WlanGetProfileList worden alle opgeslagen wifiwachtwoorden op het systeem in leesbare tekst gedumpt.

Vervolgens hergebruikt een live verrijkingsronde de gestolen sessies. Met de eigen, geverifieerde Gmail-tokens van het slachtoffer doorzoekt VOLTA de inbox op aankoopbewijzen van Amazon, DoorDash, Uber Eats, Grubhub, Walmart en PayPal om een woonadres te bevestigen. Het haalt rechtstreeks de bestelgeschiedenis van Uber Eats en DoorDash op, verrijkt het Discord-profiel van het slachtoffer via het gestolen token en schat de waarde van de Roblox-inventaris via een live zoekopdracht op Rolimons.com. Het verzamelde materiaal wordt lokaal samengevoegd in een gestructureerd bewijspakket met geolocatie en woonadres, werkgever en werkgeversdomein, afgeleid geboortejaar, de laatste vier cijfers van betaalkaarten, Slack-werkruimten, metagegevens over auteurschap van documenten en aanwijzingen voor iPhone-back-ups. Daarna wordt het opgeslagen als Identity_Report.txt en geserialiseerd als JSON.

De door het model teruggegeven beoordeling wordt opgeslagen als AI_Analysis.txt. Exfiltratie kan plaatsvinden in drie archieven die in fasen worden aangemaakt: volta_log.zip nadat de stealer is uitgevoerd, volta_dox.zip na de AI-aanroep en volta_doxnet.zip als de netwerkaanvulling iets oplevert.

De rangschikkingsfase van OpenRouter

Het geserialiseerde pakket wordt via een POST-verzoek naar het chat-completions-eindpunt van OpenRouter verzonden, met een systeemprompt die het model opdraagt op te treden als ‘een forensisch inlichtingenanalist die een doelwitanalyse opstelt’. De vereiste uitvoer bevat een onderdeel WAT ZE WAARD ZIJN, waarin de waardevolle bezittingen van het slachtoffer worden gerangschikt op basis van hun potentiële opbrengst, in de categorieën laag, gemiddeld en hoog, en een onderdeel HUN OPSEC, waarin de beveiligingsmaatregelen en het wachtwoordgebruik van het slachtoffer worden beoordeeld. De prompt stuurt het model er ook toe aan om schaarse gegevens met elkaar in verband te brengen, bijvoorbeeld door de naam, het adres of de universiteit van een slachtoffer te koppelen aan patronen in diens wachtwoorden. Talos merkt op dat het model niet zozeer wordt gevraagd gegevens te vinden, maar gevolgtrekkingen te maken die de waarde vergroten van wat al is buitgemaakt.

De hardgecodeerde configuratie gebruikt anthropic/claude-opus-4.6 als standaardmodel, met een terugvalketen die eerst moonshotai/kimi-k2 en daarna google/gemini-2.5-flash gebruikt, een temperatuur van 0,2 en handmatig samengestelde JSON-verzoeken zonder SDK en met een Mozilla/5.0 User-Agent. Talos zegt dat de lage temperatuur erop wijst dat de operator nauwkeurigheid en consistentie belangrijk vindt. De opeenvolgende modellen vormen volgens Talos een uitwijkroute naar kleinere, minder restrictieve modellen wanneer modellen weigeren te antwoorden.

VOLTA controleert elke modelrespons op weigeringszinnen zoals ‘I can’t’ voordat het doorgaat naar een volgend model in een keten van maximaal drie modellen. Het kan ook zonder de LLM-fase werken als er geen API-sleutel aanwezig is. De volledige inferentieronde vindt plaats op de computer van het slachtoffer en via diens eigen netwerkverbinding; pas daarna wordt het resultaat geëxfiltreerd.

Implementatie van de builder en tegenmaatregelen

In plaats van het Telegram-kanaal, de API-sleutels en de instellingen hard in de code vast te leggen, wordt VOLTA gecompileerd vanuit een sjabloon met zes verwisselbare velden die tijdens het bouwen worden ingevuld. Volgens Talos wijst dit op een bouwermodel waarbij de auteur toegang verkoopt, kopers hun eigen waarden aanleveren en voor elke bestelling een aangepast binair bestand wordt gecompileerd. Als dat model klopt, zo merkt de analyse op, is het AI-dossier een commerciële functie waarmee klanten van elk technisch niveau gerangschikte beoordelingen van doelwitten in hun Telegram-inbox kunnen ontvangen, en geen mogelijkheid die de auteur voor persoonlijk gebruik heeft ontwikkeld. De gegevens in de velden worden versleuteld met een sleutel die is afgeleid van de SHA-256-hash van twee constanten in hetzelfde binaire bestand. Volgens Talos biedt dit geen noemenswaardige bescherming, omdat iedereen die het bestand reverse-engineert de gegevens kan achterhalen.

Veel van VOLTA’s diefstal van tokens is afhankelijk van het omzeilen van App-Bound Encryption in Chrome. Talos zegt dat een beleid voor applicatiebeheer dat beperkt welke processen Chrome met de headless-vlag mogen starten, die ontsleutelingsroute volledig zou blokkeren. Talos beveelt op zijn minst aan waarschuwingen in te stellen wanneer Chrome vanuit een onverwacht proces headless wordt gestart, en inloggegevens hardwarematig beveiligd op te slaan. Na een inbreuk adviseert Talos het bestand volta_debug.txt te bewaren: een oogstlogboek met tijdstempels waarin precies wordt bijgehouden wat er is verzameld en of de LLM-aanroep is geslaagd. Trek vervolgens mogelijk gecompromitteerde tokens in en wijzig wachtwoorden. Elke wallet waarvan de seed phrase onversleuteld op schijf stond, moet als volledig gecompromitteerd worden beschouwd. Verplaats het geld naar een nieuwe wallet met een seed die op een air-gapped apparaat is gegenereerd.

Volgens Talos zorgt de AI-laag vooral voor een verschuiving van de benodigde inspanning, niet voor meer snelheid of schaal. Diezelfde onderliggende logica stelde Talos ook vast bij CLOSEDQUORUM, maar daar werd die op een andere fase van de operatie toegepast. Naarmate AI-integratie in malware verder volwassen wordt, zo concludeert de analyse, kan weerstand tegen weigeringen een standaardvereiste voor het ontwerp worden.

Talos vermeldt dat het geanalyseerde exemplaar een PE32+-binair bestand voor x86-64 is met de SHA-256-hash 57ef4242666d78c50df145b34023df564f0fad38812d6a580e66433d427e2279. Het is aangetroffen onder de bestandsnamen 9BY0tjwOc3ut.exe en yLP9m5J3i2Aw.exe, heeft een PE-tijdstempel van 17 augustus 2026 en is voor het eerst waargenomen op 11 oktober 2026 om 12:46 UTC.