Cisco Talos เผยรายละเอียดขั้นตอนจัดอันดับเหยื่อด้วย LLM ของมัลแวร์ขโมยข้อมูล VOLTA

Ryan Fetterman นักวิจัยของ Cisco Talos เผยแพร่บทวิเคราะห์ VOLTA-AUTODOXER เมื่อวันที่ 31 ตุลาคม 2026 โดยเป็นมัลแวร์ขโมยข้อมูลบน Windows ที่ลบตัวเองได้ ซึ่งหลังจากขโมยข้อมูลประจำตัวในวงกว้างแล้ว จะใช้โมเดลภาษาขนาดใหญ่จัดอันดับสินทรัพย์ของเหยื่อที่สามารถสร้างรายได้

Talos ระบุว่า VOLTA เป็นมัลแวร์ขโมยข้อมูลที่พัฒนาเต็มที่แล้ว พร้อมชั้นการทำงานร่วมกับ AI ที่เลือกใช้ได้ และระบุว่าปลายทางทั้งหมดที่ตรวจพบอยู่ภายใต้การควบคุมของบุคคลที่สาม โดยไม่มีโครงสร้างพื้นฐานที่ผู้โจมตีเป็นเจ้าของ ในการประเมินของ Talos จุดใหม่ของขั้นตอน AI คือโมเดลทำหน้าที่เป็นนักวิเคราะห์ข่าวกรองแทนผู้ควบคุมปฏิบัติการ ไม่ได้ทำหน้าที่สนับสนุนความสามารถแบบดั้งเดิมของมัลแวร์ โดยเปลี่ยนบันทึกข้อมูลประจำตัวดิบให้เป็นเอกสารประเมินสินทรัพย์ของเหยื่อที่สร้างรายได้ได้ พร้อมจัดลำดับความสำคัญและอ้างอิงแหล่งข้อมูล

มัลแวร์นี้ปรากฏขึ้นจากโครงการวิจัย CAIRNของ Talos เมื่อวันที่ 22 กันยายน 2026 Talos เผยแพร่ CAIRN ซึ่งเป็นชุดเครื่องมือโอเพนซอร์สชื่อเต็มว่า Cognitive Artifact Intelligence Research Network สำหรับค้นหา จัดประเภท และติดตามมัลแวร์ที่ผสานรวม AI โดยตรวจดูร่องรอยข้อมูลเมตา เช่น พรอมป์ต์ที่ฝังไว้ ปลายทางของผู้ให้บริการ และคีย์ API โดยไม่ต้องดาวน์โหลดหรือเรียกใช้ไฟล์ไบนารีต้นฉบับ Talos ระบุในวันเปิดตัวว่าจะทยอยเผยแพร่ผลการค้นพบเบื้องต้น โดยเริ่มจาก CLOSEDQUORUM ซึ่งเป็นมัลแวร์ฝังตัวที่ Talos อธิบายว่าทำหน้าที่เป็นตัวประสานงานฉันทามติหลายโมเดลแบบอัตโนมัติเต็มรูปแบบ โดยไม่มีผู้ควบคุมที่เป็นมนุษย์

การรวบรวมข้อมูลและการเสริมข้อมูลเซสชัน

การทำงานของ VOLTA เพียงรอบเดียวจะดึงข้อมูลประจำตัว คุกกี้ และบัตรชำระเงินที่บันทึกไว้จากเบราว์เซอร์ที่ใช้ Chromium รวมถึงข้อมูลจาก Firefox และ Thunderbird โปรไฟล์ Outlook พื้นที่ทำงาน Slack เซสชัน Steam และ Battle.net โทเค็น Discord เซสชัน Telegram บัญชี Roblox โทเค็น Microsoft OAuth ไฟล์การกำหนดค่า SSH และผู้ให้บริการคลาวด์สำหรับ gcloud, OpenVPN และ Hide.me โปรไฟล์ Wi-Fi และภาพหน้าจอ แทนที่จะเพียงคัดลอกกระเป๋าเงินคริปโทเคอร์เรนซี มัลแวร์ขโมยข้อมูลจะเรียกใช้เครื่องมือถอดรหัสที่ฝังมาเพื่อเจาะคลังเก็บกระเป๋าเงินในรอบการทำงานเดียวกัน แล้วบันทึกผลลัพธ์ไว้ในรายงานของตัวเองในบรรทัด WALLET VAULTS CRACKED การเรียกใช้ WlanGetProfileList โดยตรงจะดึงรหัสผ่าน Wi-Fi ที่บันทึกไว้ทั้งหมดในเครื่องออกมาเป็นข้อความธรรมดา

จากนั้น ขั้นตอนเสริมข้อมูลแบบเรียลไทม์จะนำเซสชันที่ขโมยมาใช้ซ้ำ โดยใช้โทเค็น Gmail ที่ผ่านการยืนยันตัวตนของเหยื่อเอง VOLTA จะค้นหาใบเสร็จจาก Amazon, DoorDash, Uber Eats, Grubhub, Walmart และ PayPal ในกล่องจดหมาย เพื่อยืนยันที่อยู่บ้าน มัลแวร์จะดึงประวัติการสั่งซื้อจาก Uber Eats และ DoorDash โดยตรง เพิ่มข้อมูลในโปรไฟล์ Discord ของเหยื่อผ่านโทเค็นที่ขโมยมา และประเมินมูลค่าสิ่งของในคลัง Roblox ผ่านการค้นหาข้อมูลแบบเรียลไทม์บน Rolimons.com จากนั้นจะรวบรวมข้อมูลไว้ในเครื่องเป็นชุดหลักฐานที่มีโครงสร้าง ซึ่งประกอบด้วยตำแหน่งทางภูมิศาสตร์และที่อยู่บ้าน นายจ้างและโดเมนของนายจ้าง ปีเกิดที่อนุมานได้ เลข 4 หลักท้ายของบัตร พื้นที่ทำงาน Slack ข้อมูลเมตาเกี่ยวกับผู้สร้างเอกสาร และตัวบ่งชี้การสำรองข้อมูล iPhone ก่อนบันทึกเป็น Identity_Report.txt และแปลงเป็น JSON

ผลการประเมินที่โมเดลส่งกลับมาจะบันทึกเป็น AI_Analysis.txt ส่วนการขโมยข้อมูลออกไปอาจเกิดขึ้นผ่านไฟล์บีบอัดสามชุดตามลำดับขั้น ได้แก่ volta_log.zip หลังมัลแวร์ทำงานเสร็จ volta_dox.zip หลังเรียกใช้ AI และ volta_doxnet.zip หากการเสริมข้อมูลผ่านเครือข่ายได้ข้อมูลใด ๆ มา

ขั้นตอนจัดอันดับผ่าน OpenRouter

ชุดข้อมูลที่แปลงเป็นอนุกรมจะถูกส่งด้วยคำขอ POST ไปยังปลายทาง chat-completions ของ OpenRouter พร้อมพรอมป์ต์ระบบที่สั่งให้โมเดลทำหน้าที่เป็น “นักวิเคราะห์ข่าวกรองเชิงนิติวิทยาศาสตร์ที่จัดทำการประเมินเป้าหมาย” ผลลัพธ์ที่กำหนดต้องมีส่วน WHAT THEY’RE WORTH ซึ่งจัดอันดับทรัพย์สินมีค่าของเหยื่อตามมูลค่าที่สามารถสร้างรายได้ โดยแบ่งเป็นระดับต่ำ ปานกลาง และสูง และส่วน THEIR OPSEC ซึ่งประเมินมาตรการรักษาความปลอดภัยและสุขอนามัยในการใช้รหัสผ่านของเหยื่อ พรอมป์ต์ยังผลักดันให้โมเดลเชื่อมโยงข้อมูลที่มีอยู่น้อยเข้าด้วยกัน เช่น นำชื่อ ที่อยู่ หรือมหาวิทยาลัยของเหยื่อไปเชื่อมโยงกับรูปแบบรหัสผ่าน Talos ระบุว่าโมเดลไม่ได้รับคำสั่งให้ค้นหาข้อมูลมากเท่ากับให้อนุมานข้อมูล เพื่อเพิ่มมูลค่าให้กับสิ่งที่ถูกเก็บรวบรวมไปแล้ว

การกำหนดค่าที่ฝังไว้ใช้ anthropic/claude-opus-4.6 เป็นโมเดลเริ่มต้น โดยมีลำดับโมเดลสำรองคือ moonshotai/kimi-k2 แล้วตามด้วย google/gemini-2.5-flash ตั้งค่า temperature ไว้ที่ 0.2 และประกอบคำขอ JSON ด้วยตนเองโดยไม่ใช้ SDK พร้อม User-Agent เป็น Mozilla/5.0 Talos ระบุว่า temperature ที่ต่ำบ่งชี้ว่าผู้ควบคุมปฏิบัติการให้ความสำคัญกับความแม่นยำและความสม่ำเสมอ และอธิบายว่าการไล่ใช้โมเดลตามลำดับเป็นการเปลี่ยนไปใช้โมเดลขนาดเล็กกว่าที่มีข้อจำกัดน้อยกว่าเมื่อโมเดลปฏิเสธคำขอ

VOLTA จะตรวจสอบคำตอบของแต่ละโมเดลว่ามีข้อความปฏิเสธ เช่น “ฉันทำไม่ได้” หรือไม่ ก่อนเลื่อนไปใช้โมเดลลำดับถัดไปในสายที่มีได้สูงสุดสามโมเดล และสามารถทำงานได้โดยไม่ใช้ขั้นตอน LLM เลยหากไม่มีคีย์ API การประมวลผลอนุมานทั้งหมดไปกลับบนเครื่องของเหยื่อผ่านการเชื่อมต่อเครือข่ายของเหยื่อเอง และผลลัพธ์จะถูกขโมยออกไปหลังจากนั้นเท่านั้น

การติดตั้งใช้งานผ่านตัวสร้างและมาตรการรับมือ

แทนที่จะฝังช่อง Telegram, คีย์ API และการตั้งค่าต่าง ๆ ไว้ในโค้ด VOLTA จะคอมไพล์จากเทมเพลตที่มีช่องปรับเปลี่ยนได้ 6 ช่อง ซึ่งจะถูกเติมค่าระหว่างขั้นตอนการสร้าง Talos ระบุว่าเรื่องนี้ชี้ให้เห็นถึงรูปแบบธุรกิจที่ผู้พัฒนาขายสิทธิ์เข้าถึง ผู้ซื้อป้อนค่าของตนเอง และมีการคอมไพล์ไบนารีแบบกำหนดเองสำหรับแต่ละคำสั่งซื้อ การวิเคราะห์ระบุว่า หากรูปแบบนี้เป็นจริง แฟ้มข้อมูล AI ก็เป็นฟีเจอร์เชิงพาณิชย์ที่ช่วยให้ลูกค้าไม่ว่าจะมีความเชี่ยวชาญระดับใดได้รับการประเมินเป้าหมายแบบจัดอันดับในกล่องข้อความ Telegram แทนที่จะเป็นความสามารถที่ผู้พัฒนาสร้างขึ้นเพื่อใช้ส่วนตัว ข้อมูลรับรองในช่องเหล่านี้ถูกเข้ารหัสด้วยคีย์ที่ได้จากค่าแฮช SHA-256 ของค่าคงที่ 2 ค่า ซึ่งอยู่ในไบนารีเดียวกัน โดย Talos ระบุว่าวิธีนี้ไม่ได้ให้การป้องกันที่มีนัยสำคัญ เพราะใครก็ตามที่ทำวิศวกรรมย้อนกลับไฟล์ก็สามารถกู้ค่าดังกล่าวได้

การขโมยโทเค็นของ VOLTA ส่วนใหญ่ต้องอาศัยการหลบเลี่ยง App-Bound Encryption ใน Chrome Talos ระบุว่า นโยบายควบคุมแอปพลิเคชันที่จำกัดกระบวนการซึ่งสามารถเปิด Chrome ด้วยแฟล็ก headless จะปิดกั้นช่องทางถอดรหัสนี้ได้ทั้งหมด และอย่างน้อยที่สุดก็แนะนำให้ตั้งการแจ้งเตือนเมื่อ Chrome เปิดทำงานในโหมด headless จากกระบวนการที่ไม่คาดคิด พร้อมทั้งจัดเก็บข้อมูลรับรองโดยใช้การป้องกันที่อาศัยฮาร์ดแวร์ หลังเกิดเหตุละเมิดความปลอดภัย Talos แนะนำให้เก็บรักษาไฟล์ volta_debug.txt ซึ่งเป็นบันทึกการเก็บข้อมูลที่ระบุเวลาและบันทึกไว้อย่างชัดเจนว่ามีการเก็บข้อมูลใดบ้าง และการเรียกใช้ LLM สำเร็จหรือไม่ จากนั้นให้เพิกถอนโทเค็นที่อาจถูกบุกรุกและเปลี่ยนรหัสผ่าน กระเป๋าเงินใดก็ตามที่มีวลีตั้งต้นเก็บอยู่ในรูปแบบข้อความธรรมดาบนดิสก์ ควรถือว่าถูกบุกรุกอย่างสมบูรณ์ โดยย้ายเงินไปยังกระเป๋าเงินใหม่ที่สร้างวลีตั้งต้นบนอุปกรณ์ที่แยกขาดจากเครือข่าย

Talos มองว่าการปรับปรุงที่ชั้น AI นำมาให้คือการโยกย้ายภาระงาน ไม่ใช่การเพิ่มความเร็วหรือขนาด ซึ่งเป็นตรรกะพื้นฐานเดียวกับที่ Talos ระบุไว้ใน CLOSEDQUORUM แต่นำมาปรับใช้กับขั้นตอนอื่นของปฏิบัติการ การวิเคราะห์สรุปว่า เมื่อการผสาน AI เข้ากับมัลแวร์พัฒนาไปมากขึ้น ความสามารถในการรับมือกับการปฏิเสธของโมเดลอาจกลายเป็นข้อกำหนดมาตรฐานในการออกแบบ

Talos ระบุตัวอย่างที่วิเคราะห์ว่าเป็นไบนารี PE32+ x86-64 ซึ่งมีค่าแฮช SHA-256 คือ 57ef4242666d78c50df145b34023df564f0fad38812d6a580e66433d427e2279 พบภายใต้ชื่อไฟล์ 9BY0tjwOc3ut.exe และ yLP9m5J3i2Aw.exe โดยมีเวลาประทับ PE เป็นวันที่ 17 สิงหาคม 2026 และพบครั้งแรกเมื่อเวลา 12:46 UTC ของวันที่ 11 ตุลาคม 2026