Cisco Talos detaliază etapa de clasificare a victimelor după valoarea lor, bazată pe LLM, din programul de furt de informații VOLTA

Cercetătorul Cisco Talos Ryan Fetterman a publicat, la 31 octombrie 2026, o analiză a VOLTA-AUTODOXER, un program de furt de informații pentru Windows care se autodistruge și care, după o amplă etapă de furt de date de autentificare, folosește un model lingvistic de mari dimensiuni pentru a clasifica activele monetizabile ale fiecărei victime.

Talos descrie VOLTA drept un implant matur de furt de date, cu un nivel opțional de integrare a inteligenței artificiale, și afirmă că toate endpointurile observate sunt controlate de terți, fără infrastructură deținută de atacator. În evaluarea Talos, noutatea etapei bazate pe inteligență artificială constă în faptul că modelul acționează în numele operatorului ca analist de informații, în loc să susțină o funcție tradițională a programului malware: transformă un jurnal brut de date de autentificare într-un dosar prioritar al activelor monetizabile ale victimei, susținut de citate.

Malware-ul a fost descoperit în cadrul efortului de cercetare CAIRN al Talos. La 22 septembrie 2026, Talos a lansat și a făcut public codul sursă al CAIRN, Cognitive Artifact Intelligence Research Network, un set de instrumente pentru identificarea, clasificarea și urmărirea malware-ului integrat cu inteligență artificială prin artefacte de metadate, precum solicitări încorporate, endpointuri ale furnizorilor și chei API, fără a descărca sau executa fișierele binare subiacente. La momentul lansării, Talos a declarat că își va face publice treptat constatările inițiale, începând cu CLOSEDQUORUM, un implant descris drept un orchestrator de consens multimodel complet autonom, fără operator uman.

Colectarea datelor și îmbogățirea sesiunilor

Într-o singură rulare, VOLTA extrage datele de autentificare, cookie-urile și cardurile de plată salvate în browserele bazate pe Chromium, precum și date din Firefox și Thunderbird, profiluri Outlook, spații de lucru Slack, sesiuni Steam și Battle.net, tokenuri Discord, sesiuni Telegram, conturi Roblox, tokenuri Microsoft OAuth, fișiere de configurare SSH și ale furnizorilor cloud pentru gcloud, OpenVPN și Hide.me, profiluri Wi-Fi și capturi de ecran. În loc să copieze pur și simplu portofelele de criptomonede, programul de furt de date folosește, în aceeași rulare, un instrument de spargere încorporat asupra seifului portofelului și consemnează rezultatul într-o linie WALLET VAULTS CRACKED din propriul raport. Un apel direct la WlanGetProfileList extrage în text clar toate parolele Wi-Fi salvate pe dispozitivul gazdă.

Apoi, o etapă de îmbogățire în timp real reutilizează sesiunile furate. Folosind tokenurile Gmail autentificate ale victimei, VOLTA caută în căsuța de e-mail chitanțe de la Amazon, DoorDash, Uber Eats, Grubhub, Walmart și PayPal, pentru a confirma adresa de domiciliu. Extrage direct istoricul comenzilor de pe Uber Eats și DoorDash, completează profilul Discord al victimei cu ajutorul tokenului furat și estimează valoarea inventarului Roblox printr-o interogare în timp real pe Rolimons.com. Materialele colectate sunt reunite local într-un pachet structurat de probe, care conține localizarea geografică și adresa de domiciliu, angajatorul și domeniul acestuia, anul nașterii dedus, ultimele 4 cifre ale cardului, spațiile de lucru Slack, metadatele privind autorii documentelor și indicii despre copiile de rezervă iPhone; apoi, pachetul este salvat ca Identity_Report.txt și serializat în format JSON.

Evaluarea returnată de model este salvată ca AI_Analysis.txt, iar exfiltrarea poate avea loc în trei arhive succesive: volta_log.zip după rularea programului de furt de date, volta_dox.zip după apelul către inteligența artificială și volta_doxnet.zip dacă îmbogățirea prin rețea produce rezultate.

Etapa de clasificare prin OpenRouter

Pachetul serializat este trimis printr-o solicitare POST către endpointul OpenRouter pentru chat completions, însoțit de o solicitare de sistem care îi cere modelului să acționeze ca „un analist de informații criminalistice care redactează evaluarea unei ținte”. Rezultatul trebuie să includă o secțiune intitulată CE VALOARE AU, în care bunurile de valoare ale victimei sunt clasificate în funcție de valoarea lor monetizabilă, pe trei niveluri: scăzut, mediu și ridicat, precum și o secțiune intitulată SECURITATEA LOR OPERAȚIONALĂ, care evaluează postura de securitate și igiena parolelor victimei. Solicitarea îndeamnă, de asemenea, modelul să conecteze puncte de date disparate, de exemplu să coreleze numele, adresa sau universitatea victimei cu tipare din parolele acesteia. Talos observă că modelului nu i se cere atât să găsească date, cât să deducă informații care sporesc valoarea datelor deja colectate.

Configurația hardcodată folosește anthropic/claude-opus-4.6 ca model implicit, cu un lanț de rezervă care include moonshotai/kimi-k2 și apoi google/gemini-2.5-flash, o temperatură de 0,2 și solicitări JSON asamblate manual, fără SDK, cu un User-Agent Mozilla/5.0. Talos afirmă că temperatura scăzută sugerează că operatorul pune accentul pe acuratețe și consecvență și descrie lanțul succesiv drept o trecere la modele mai mici și mai permisive atunci când apar refuzuri.

VOLTA verifică fiecare răspuns al modelului pentru expresii de refuz, precum „Nu pot”, înainte de a trece la următorul model dintr-un lanț de cel mult trei modele; de asemenea, poate funcționa fără etapa bazată pe LLM dacă nu este prezentă nicio cheie API. Întregul ciclu de inferență are loc pe dispozitivul victimei, prin propria conexiune la rețea a acesteia; rezultatul este exfiltrat abia ulterior.

Implementarea printr-un generator și măsuri de contracarare

În loc să includă direct în cod canalul său de Telegram, cheile API și setările, VOLTA este compilat pornind de la un șablon cu șase sloturi interschimbabile, completate în timpul construirii. Talos afirmă că acest lucru indică un model de tip „builder”, în care autorul vinde accesul, cumpărătorii furnizează propriile valori, iar pentru fiecare comandă este compilat un fișier binar personalizat. Dacă acest model se confirmă, notează analiza, dosarul IA este o funcție comercială care permite unui client, indiferent de nivelul său de competență, să primească în căsuța de mesaje Telegram evaluări ierarhizate ale țintelor, nu o capabilitate creată de autor pentru uz personal. Datele de autentificare din sloturi sunt criptate cu o cheie obținută prin aplicarea SHA-256 asupra a două constante aflate în același fișier binar. Talos afirmă că acest lucru nu oferă o protecție reală, deoarece oricine analizează fișierul prin inginerie inversă le poate recupera.

O mare parte din furtul de tokenuri al VOLTA depinde de ocolirea funcției App-Bound Encryption din Chrome. Talos afirmă că o politică de control al aplicațiilor care restricționează procesele ce pot lansa Chrome cu opțiunea headless ar bloca complet această cale de decriptare și recomandă, cel puțin, configurarea unor alerte atunci când Chrome este lansat în modul headless de un proces neașteptat, precum și stocarea acreditărilor cu protecție hardware. După o compromitere, Talos recomandă păstrarea fișierului volta_debug.txt, un jurnal de colectare cu marcaje temporale care înregistrează exact ce a fost colectat și dacă apelul LLM a reușit, apoi revocarea tokenurilor potențial compromise și schimbarea parolelor. Orice portofel a cărui frază de recuperare a fost stocată în clar pe disc trebuie considerat complet compromis, iar fondurile trebuie transferate într-un portofel nou, a cărui frază de recuperare este generată pe un dispozitiv izolat de rețea.

În interpretarea Talos, îmbunătățirea adusă de componenta IA constă în reorientarea efortului, nu în creșterea vitezei sau a amplorii, urmând aceeași logică de bază pe care Talos a identificat-o în CLOSEDQUORUM, dar aplicată unei alte etape a operațiunii. Analiza concluzionează că, pe măsură ce integrarea IA în programele malware se maturizează, rezistența la refuzuri ar putea deveni o cerință standard de proiectare.

Talos descrie eșantionul analizat drept un fișier binar PE32+ x86-64 cu hash-ul SHA-256 57ef4242666d78c50df145b34023df564f0fad38812d6a580e66433d427e2279, observat sub numele de fișier 9BY0tjwOc3ut.exe și yLP9m5J3i2Aw.exe, cu un marcaj temporal PE din 17 august 2026 și observat pentru prima dată la 12:46 UTC, pe 11 octombrie 2026.