Cisco Talos opisuje etap rankingu ofiar przez LLM w złodzieju danych VOLTA

Badacz Cisco Talos Ryan Fetterman opublikował 31 października 2026 r. analizę VOLTA-AUTODOXER, samousuwającego się złodzieja danych dla systemu Windows, który po szeroko zakrojonym pozyskiwaniu danych logowania uruchamia etap z dużym modelem językowym, mający na celu uszeregowanie aktywów każdej ofiary pod kątem możliwości ich spieniężenia.

Talos opisuje VOLTA jako dojrzały implant kradnący dane, wyposażony w opcjonalną warstwę integracji ze sztuczną inteligencją. Według firmy każdy zaobserwowany punkt końcowy jest kontrolowany przez podmiot zewnętrzny, a atakujący nie dysponują własną infrastrukturą. W ocenie Talos nowatorstwo etapu AI polega na tym, że model działa w imieniu operatora jako analityk wywiadowczy, zamiast wspierać tradycyjne funkcje złośliwego oprogramowania: przekształca surowy rejestr skradzionych danych logowania w uszeregowany według priorytetu dossier dotyczący aktywów ofiary, które można spieniężyć, i popiera ustalenia odsyłaczami do źródeł.

Złośliwe oprogramowanie zostało odkryte w ramach prac badawczych CAIRN prowadzonych przez Talos. 22 września 2026 r. Talos udostępnił CAIRN na zasadach open source. CAIRN, czyli Cognitive Artifact Intelligence Research Network, to zestaw narzędzi do wykrywania, klasyfikowania i śledzenia złośliwego oprogramowania zintegrowanego ze sztuczną inteligencją na podstawie artefaktów metadanych, takich jak osadzone prompty, adresy końcowe dostawców i klucze API, bez pobierania ani uruchamiania samych plików binarnych. W chwili udostępnienia CAIRN Talos zapowiedział, że z czasem podzieli się wstępnymi ustaleniami, zaczynając od CLOSEDQUORUM — implantu opisanego przez firmę jako w pełni autonomiczny, wielomodelowy orkiestrator konsensusu, działający bez udziału człowieka.

Pozyskiwanie danych i wzbogacanie informacji o sesjach

Podczas jednego przebiegu VOLTA wykrada dane logowania, pliki cookie i zapisane karty płatnicze z przeglądarek opartych na Chromium, a także dane z Firefox i Thunderbird, profile Outlook, obszary robocze Slack, sesje Steam i Battle.net, tokeny Discord, sesje Telegram, konta Roblox, tokeny OAuth firmy Microsoft, pliki konfiguracyjne SSH i dostawców usług chmurowych dla gcloud, OpenVPN i Hide.me, profile Wi-Fi oraz zrzuty ekranu. Zamiast po prostu kopiować portfele kryptowalutowe, złodziej danych uruchamia podczas tego samego przebiegu wbudowane narzędzie do łamania zabezpieczeń skarbca portfela, a wynik zapisuje w swoim raporcie w wierszu WALLET VAULTS CRACKED. Bezpośrednie wywołanie WlanGetProfileList zrzuca w postaci jawnego tekstu wszystkie zapisane hasła Wi-Fi znajdujące się na komputerze ofiary.

Następnie, w ramach aktywnego wzbogacania informacji, ponownie wykorzystywane są skradzione sesje. Korzystając z własnych, uwierzytelnionych tokenów Gmail ofiary, VOLTA przeszukuje jej skrzynkę odbiorczą w poszukiwaniu potwierdzeń zakupów z Amazon, DoorDash, Uber Eats, Grubhub, Walmart i PayPal, aby zweryfikować jej adres zamieszkania. Bezpośrednio pobiera historię zamówień z Uber Eats i DoorDash, wzbogaca profil ofiary w Discordzie za pomocą skradzionego tokenu oraz szacuje wartość jej przedmiotów w Roblox na podstawie wyszukiwania na żywo w serwisie Rolimons.com. Zebrane materiały są lokalnie łączone w uporządkowany pakiet dowodowy zawierający dane geolokalizacyjne i adres zamieszkania, nazwę pracodawcy i domenę pracodawcy, przypuszczalny rok urodzenia, ostatnie 4 cyfry numeru karty, obszary robocze Slack, metadane dotyczące autorstwa dokumentów oraz informacje wskazujące na obecność kopii zapasowej iPhone’a. Następnie pakiet jest zapisywany jako Identity_Report.txt i serializowany do formatu JSON.

Ocena zwrócona przez model jest zapisywana jako AI_Analysis.txt, a eksfiltracja może odbywać się w trzech etapach, w postaci archiwów: volta_log.zip po uruchomieniu złodzieja danych, volta_dox.zip po wywołaniu AI oraz volta_doxnet.zip, jeśli wzbogacanie danych przez sieć przyniesie jakiekolwiek wyniki.

Etap rankingu z użyciem OpenRouter

Serializowany pakiet jest wysyłany metodą POST do punktu końcowego chat-completions OpenRouter, a prompt systemowy instruuje model, by działał jako „analityk wywiadowczy ds. kryminalistyki sporządzający ocenę celu”. Wymagane dane wyjściowe obejmują sekcję ILE SĄ WARCI, w której cenne zasoby ofiary są klasyfikowane według możliwości spieniężenia do kategorii niskiej, średniej i wysokiej, oraz sekcję ICH OPSEC, oceniającą poziom zabezpieczeń ofiary i stosowane przez nią praktyki dotyczące haseł. Prompt zachęca też model do łączenia skąpych danych, na przykład powiązania nazwiska, adresu lub uczelni ofiary z wzorcami w jej hasłach. Talos zauważa, że model nie ma tyle wyszukiwać danych, ile wyciągać wnioski zwiększające wartość już zebranych informacji.

W konfiguracji zapisanej na stałe jako domyślny model używany jest anthropic/claude-opus-4.6, a łańcuch modeli zastępczych obejmuje kolejno moonshotai/kimi-k2 i google/gemini-2.5-flash. Temperatura wynosi 0,2, a żądania JSON są składane ręcznie, bez użycia SDK, z nagłówkiem User-Agent Mozilla/5.0. Talos twierdzi, że niska temperatura sugeruje, iż operator kładzie nacisk na dokładność i spójność. Firma opisuje też kaskadowy łańcuch jako przejście na mniejsze, mniej restrykcyjne modele w przypadku odmowy.

Przed przejściem do kolejnego modelu w łańcuchu, obejmującym maksymalnie trzy modele, VOLTA sprawdza odpowiedź każdego z nich pod kątem fraz świadczących o odmowie, takich jak „Nie mogę”. Jeśli nie ma klucza API, może działać bez etapu LLM. Cały cykl wnioskowania odbywa się na komputerze ofiary, za pośrednictwem jej własnego połączenia sieciowego; wynik jest eksfiltrowany dopiero później.

Wdrożenie za pomocą narzędzia do tworzenia implantów i środki zaradcze

Zamiast na stałe wpisywać do kodu kanał Telegrama, klucze API i ustawienia, VOLTA jest kompilowany z szablonu zawierającego sześć wymiennych pól, uzupełnianych podczas kompilacji. Talos twierdzi, że wskazuje to na model oparty na narzędziu do tworzenia próbek, w którym autor sprzedaje dostęp, nabywcy podają własne wartości, a dla każdego zamówienia kompilowany jest niestandardowy plik binarny. Jak zauważa analiza, jeśli ten model jest prawidłowy, zestawienie przygotowywane przez AI jest komercyjną funkcją, która pozwala klientom o dowolnym poziomie zaawansowania otrzymywać w skrzynce odbiorczej Telegrama uszeregowane oceny celów — nie zaś możliwościami opracowanymi przez autora na własny użytek. Dane uwierzytelniające w polach są szyfrowane kluczem wyprowadzonym z dwóch stałych zapisanych w tym samym pliku binarnym za pomocą SHA-256. Zdaniem Talos nie zapewnia to żadnej istotnej ochrony, ponieważ każdy, kto przeprowadzi inżynierię wsteczną pliku, może je odzyskać.

Kradzież znacznej części tokenów przez VOLTA opiera się na omijaniu mechanizmu App-Bound Encryption w Chrome. Talos twierdzi, że zasady kontroli aplikacji ograniczające procesy, które mogą uruchamiać Chrome z flagą headless, całkowicie zablokowałyby tę ścieżkę deszyfrowania. Zaleca też co najmniej generowanie alertów, gdy Chrome jest uruchamiany w trybie headless przez nieoczekiwany proces, oraz przechowywanie danych uwierzytelniających z zabezpieczeniem sprzętowym. Po wykryciu włamania Talos zaleca zachowanie pliku volta_debug.txt — dziennika zbierania danych ze znacznikami czasu, który dokładnie rejestruje, co zebrano i czy wywołanie LLM zakończyło się powodzeniem — a następnie unieważnienie potencjalnie przejętych tokenów i zmianę haseł. Każdy portfel, którego fraza seed była przechowywana na dysku w postaci jawnej, należy uznać za całkowicie przejęty, a środki przenieść do nowego portfela, którego fraza seed zostanie wygenerowana na urządzeniu odizolowanym od sieci.

W ujęciu Talos korzyść, jaką zapewnia warstwa AI, polega na przeniesieniu nakładu pracy, a nie na zwiększeniu szybkości czy skali działania. To ta sama podstawowa logika, którą Talos wskazał w przypadku CLOSEDQUORUM, zastosowana na innym etapie operacji. Jak podsumowuje analiza, wraz z dojrzewaniem integracji AI ze złośliwym oprogramowaniem odporność na odmowy modelu może stać się standardowym wymogiem projektowym.

Talos podaje, że analizowana próbka to plik binarny PE32+ x86-64 o skrócie SHA-256 57ef4242666d78c50df145b34023df564f0fad38812d6a580e66433d427e2279, zaobserwowany pod nazwami 9BY0tjwOc3ut.exe i yLP9m5J3i2Aw.exe. Zawiera znacznik czasu PE z 17 sierpnia 2026 r., a po raz pierwszy zaobserwowano go 11 października 2026 r. o 12:46 UTC.