Cisco Talos redegjør for VOLTA-infotyverens LLM-trinn for rangering av ofre

Cisco Talos-forskeren Ryan Fetterman publiserte 31. oktober 2026 en analyse av VOLTA-AUTODOXER, en selv-slettende infotyver for Windows som etter en omfattende runde med legitimasjonstyveri bruker en stor språkmodell til å rangere hver enkelt offers eiendeler etter hvor mye penger de kan innbringe.

Talos beskriver VOLTA som et modent implantat for informasjonstyveri med et valgfritt lag for KI-integrasjon, og opplyser at alle observerte endepunkter kontrolleres av tredjeparter, uten infrastruktur som eies av angriperen. Ifølge Talos er det nye ved KI-trinnet at modellen fungerer som etterretninganalytiker på vegne av operatøren, i stedet for å støtte en tradisjonell funksjon i skadevaren. Den omdanner en rå logg over stjålet legitimasjon til en prioritert oversikt over offerets eiendeler som kan omsettes i penger, med kildehenvisninger.

Skadevaren ble avdekket gjennom Talos’ CAIRN-forskningsprosjekt. Talos lanserte CAIRN, Cognitive Artifact Intelligence Research Network, som åpen kildekode 22. september 2026. Det er et verktøysett for å finne, klassifisere og spore skadevare integrert med KI ved hjelp av metadataartefakter som innebygde ledetekster, tjenesteendepunkter og API-nøkler, uten å laste ned eller kjøre de underliggende binærfilene. Ved lanseringen sa Talos at de ville dele de første funnene sine etter hvert, med CLOSEDQUORUM som det første. Det beskrev de som en fullt autonom orkestrator for konsensus mellom flere modeller, uten menneskelig operatør.

Innsamling og berikelse av øktdata

I én enkelt kjøring henter VOLTA ut påloggingsinformasjon, informasjonskapsler og lagrede betalingskort fra Chromium-baserte nettlesere, i tillegg til data fra Firefox og Thunderbird, Outlook-profiler, Slack-arbeidsområder, økter i Steam og Battle.net, Discord-tokener, Telegram-økter, Roblox-kontoer, Microsoft OAuth-tokener, SSH-konfigurasjonsfiler og konfigurasjonsfiler for skytjenester som gcloud, OpenVPN og Hide.me, Wi-Fi-profiler og skjermbilder. I stedet for bare å kopiere kryptovaluta-lommebøker kjører skadevaren et innebygd verktøy for å knekke passord mot lommebokhvelvet i samme operasjon, og registrerer resultatet på en linje merket WALLET VAULTS CRACKED i sin egen rapport. Et direkte kall til WlanGetProfileList henter ut alle lagrede Wi-Fi-passord på vertsmaskinen i klartekst.

Deretter gjenbruker skadevaren de stjålne øktene i en direkte berikingsrunde. Med offerets egne autentiserte Gmail-tokener søker VOLTA i innboksen etter kvitteringer fra Amazon, DoorDash, Uber Eats, Grubhub, Walmart og PayPal for å bekrefte en hjemmeadresse. Den henter direkte ordrehistorikk fra Uber Eats og DoorDash, beriker offerets Discord-profil ved hjelp av det stjålne tokenet og anslår verdien av Roblox-beholdningen gjennom et direkte oppslag på Rolimons.com. Materialet samles lokalt i en strukturert bevispakke som inneholder geografisk posisjon og hjemmeadresse, arbeidsgiver og arbeidsgiverens domene, anslått fødselsår, de fire siste sifrene på kortet, Slack-arbeidsområder, metadata om dokumentforfatterskap og indikatorer på iPhone-sikkerhetskopier. Deretter lagres pakken som Identity_Report.txt og serialiseres som JSON.

Modellens vurdering lagres som AI_Analysis.txt, og data kan eksfiltreres i tre arkiver som opprettes på ulike stadier: volta_log.zip etter at skadevaren har kjørt, volta_dox.zip etter KI-kallet og volta_doxnet.zip hvis nettverksberikingen gir resultater.

Rangeringstrinnet i OpenRouter

Den serialiserte pakken sendes med POST til OpenRouters endepunkt for chat completions, sammen med en systemledetekst som instruerer modellen om å opptre som «en etterretningsanalytiker innen forensikk som utarbeider en målvurdering». Det påkrevde svaret skal inneholde en del med overskriften HVA DE ER VERDT, der offerets verdier rangeres etter hvor mye penger de kan innbringe, fordelt på lavt, middels og høyt nivå, samt en del med overskriften DERES OPSEC, som vurderer offerets sikkerhetsnivå og passordvaner. Ledeteksten oppmuntrer også modellen til å knytte sammen sparsomme datapunkter, for eksempel ved å koble offerets navn, adresse eller universitet til mønstre i passordene. Talos påpeker at modellen i mindre grad blir bedt om å finne data enn om å trekke slutninger som øker verdien av det som allerede er hentet ut.

Den hardkodede konfigurasjonen bruker anthropic/claude-opus-4.6 som standardmodell, med en reservekjede som først går til moonshotai/kimi-k2 og deretter google/gemini-2.5-flash, en temperatur på 0,2 og håndsammensatte JSON-forespørsler uten SDK og med en Mozilla/5.0 User-Agent. Talos sier at den lave temperaturen tyder på at operatøren prioriterer nøyaktighet og konsistens, og beskriver kjeden av modeller som en overgang til mindre og mer tillatende modeller når forespørsler avvises.

VOLTA ser etter avvisningsfraser som «Det kan jeg ikke» i hvert svar fra modellen før den går videre i en kjede med opptil tre modeller. Skadevaren kan også kjøre helt uten LLM-trinnet hvis ingen API-nøkkel er tilgjengelig. Hele forespørsels- og svarrunden kjøres på offerets maskin via offerets egen nettverkstilkobling; resultatet eksfiltreres først etterpå.

Utrulling av verktøybyggeren og mottiltak

I stedet for å hardkode Telegram-kanalen, API-nøklene og innstillingene sine kompileres VOLTA fra en mal med seks utskiftbare felter som fylles ut under byggingen. Ifølge Talos tyder dette på en modell der utvikleren selger tilgang, kjøperne oppgir sine egne verdier, og en tilpasset binærfil kompileres for hver bestilling. Hvis denne modellen stemmer, påpeker analysen, er AI-dossieret en kommersiell funksjon som gjør det mulig for kunder på alle kompetansenivåer å motta rangerte vurderinger av mål i en Telegram-innboks, snarere enn en funksjon utvikleren har laget til personlig bruk. Opplysningene i feltene krypteres med en nøkkel som er avledet fra SHA-256-hashen av to konstanter i den samme binærfilen. Ifølge Talos gir dette ingen reell beskyttelse, fordi alle som reverserer filen, kan hente dem ut.

Mye av VOLTAs tyveri av tokener er avhengig av å omgå App-Bound Encryption i Chrome. Talos sier at en policy for applikasjonskontroll som begrenser hvilke prosesser som kan starte Chrome med headless-flagget, ville blokkert denne dekrypteringsveien fullstendig. Som et minimum anbefaler Talos å varsle når Chrome startes i headless-modus fra en uventet prosess, i tillegg til å bruke maskinvarebasert lagring av påloggingsopplysninger. Etter et sikkerhetsbrudd anbefaler Talos å ta vare på filen volta_debug.txt, en logg over innsamlingen med tidsstempler som viser nøyaktig hva som ble samlet inn, og om LLM-kallet lyktes. Deretter bør man tilbakekalle tokener som kan være kompromittert, og endre passord. Enhver lommebok med en seedfrase lagret i klartekst på disken bør regnes som fullstendig kompromittert, og midlene bør overføres til en ny lommebok med en seed som er generert på en frakoblet enhet.

Slik Talos beskriver det, innebærer forbedringen AI-laget gir, at arbeidsinnsatsen flyttes, ikke at arbeidet går raskere eller kan utføres i større skala. Den underliggende logikken er den samme som Talos identifiserte i CLOSEDQUORUM, men brukt i en annen fase av operasjonen. Analysen konkluderer med at motstandsdyktighet mot avslag kan bli et standardkrav til utformingen etter hvert som AI-integrering i skadevare blir mer avansert.

Talos oppgir at det analyserte eksempelet er en PE32+-binærfil for x86-64 med SHA-256-hashen 57ef4242666d78c50df145b34023df564f0fad38812d6a580e66433d427e2279. Den ble observert med filnavnene 9BY0tjwOc3ut.exe og yLP9m5J3i2Aw.exe, har et PE-tidsstempel fra 17. august 2026 og ble først observert kl. 12:46 UTC den 11. oktober 2026.