Cisco Talos phân tích giai đoạn xếp hạng nạn nhân bằng LLM của mã độc đánh cắp thông tin VOLTA

Ngày 31 tháng 10 năm 2026, nhà nghiên cứu Ryan Fetterman của Cisco Talos đã công bố một bản phân tích về VOLTA-AUTODOXER, một mã độc đánh cắp thông tin trên Windows có khả năng tự xóa. Mã độc này thực hiện một đợt đánh cắp thông tin xác thực trên diện rộng, sau đó chuyển sang giai đoạn dùng mô hình ngôn ngữ lớn để xếp hạng những tài sản có thể kiếm tiền của từng nạn nhân.

Talos mô tả VOLTA là một mã độc đánh cắp thông tin đã hoàn thiện, có lớp tích hợp AI tùy chọn; theo hãng, mọi điểm cuối được quan sát đều do bên thứ ba kiểm soát, không có hạ tầng nào thuộc sở hữu của kẻ tấn công. Theo đánh giá của Talos, điểm mới của giai đoạn AI là mô hình đóng vai trò nhà phân tích tình báo thay cho tin tặc vận hành, thay vì hỗ trợ một chức năng mã độc truyền thống. Mô hình biến nhật ký thông tin xác thực thô thành hồ sơ có trích dẫn, trong đó các tài sản có thể kiếm tiền của nạn nhân được xếp theo mức độ ưu tiên.

Mã độc này được phát hiện trong khuôn khổ nỗ lực nghiên cứu CAIRN của Talos. Ngày 22 tháng 9 năm 2026, Talos phát hành và công khai mã nguồn CAIRN (Cognitive Artifact Intelligence Research Network), một bộ công cụ dùng để săn tìm, phân loại và theo dõi mã độc tích hợp AI thông qua các dấu vết siêu dữ liệu như lời nhắc được nhúng, điểm cuối của nhà cung cấp và khóa API, mà không cần tải xuống hay thực thi các tệp nhị phân bên dưới. Khi phát hành, Talos cho biết sẽ lần lượt chia sẻ những phát hiện ban đầu, bắt đầu với CLOSEDQUORUM, một mã độc cấy được hãng mô tả là bộ điều phối đồng thuận đa mô hình hoàn toàn tự động, không có người vận hành.

Thu thập dữ liệu và làm giàu thông tin phiên

Chỉ với một lượt chạy, VOLTA trích xuất thông tin xác thực trình duyệt, cookie và thẻ thanh toán đã lưu trên các trình duyệt dựa trên Chromium, cùng dữ liệu Firefox và Thunderbird, hồ sơ Outlook, không gian làm việc Slack, phiên Steam và Battle.net, token Discord, phiên Telegram, tài khoản Roblox, token Microsoft OAuth, tệp cấu hình SSH và nhà cung cấp đám mây cho gcloud, OpenVPN và Hide.me, hồ sơ Wi-Fi và ảnh chụp màn hình. Thay vì chỉ sao chép ví tiền mã hóa, mã độc đánh cắp thông tin chạy một công cụ bẻ khóa được nhúng để tấn công kho lưu trữ ví ngay trong cùng lượt chạy, rồi ghi kết quả vào dòng WALLET VAULTS CRACKED trong báo cáo của chính nó. Một lệnh gọi trực tiếp đến WlanGetProfileList sẽ trích xuất mọi mật khẩu Wi-Fi đã lưu trên máy chủ dưới dạng văn bản thuần.

Tiếp đó, một lượt làm giàu dữ liệu trực tiếp tái sử dụng các phiên đã đánh cắp. Bằng chính token Gmail đã xác thực của nạn nhân, VOLTA tìm trong hộp thư đến các hóa đơn từ Amazon, DoorDash, Uber Eats, Grubhub, Walmart và PayPal để xác minh địa chỉ nhà. Mã độc lấy trực tiếp lịch sử đơn hàng Uber Eats và DoorDash, bổ sung thông tin vào hồ sơ Discord của nạn nhân bằng token đã đánh cắp, đồng thời định giá kho vật phẩm Roblox thông qua truy vấn trực tiếp trên Rolimons.com. Dữ liệu thu thập được tập hợp cục bộ thành một gói chứng cứ có cấu trúc, gồm vị trí địa lý và địa chỉ nhà, nơi làm việc và tên miền của nơi làm việc, năm sinh suy đoán, 4 chữ số cuối của thẻ, không gian làm việc Slack, siêu dữ liệu về tác giả tài liệu và dấu hiệu sao lưu iPhone. Sau đó, gói dữ liệu được lưu thành Identity_Report.txt và tuần tự hóa dưới dạng JSON.

Đánh giá do mô hình trả về được lưu thành AI_Analysis.txt; dữ liệu có thể bị lấy đi trong ba tệp lưu trữ theo từng giai đoạn: volta_log.zip sau khi mã độc đánh cắp thông tin chạy, volta_dox.zip sau lệnh gọi AI và volta_doxnet.zip nếu quá trình làm giàu dữ liệu qua mạng thu được thông tin.

Giai đoạn xếp hạng qua OpenRouter

Gói dữ liệu đã tuần tự hóa được gửi bằng phương thức POST đến điểm cuối chat-completions của OpenRouter, kèm theo lời nhắc hệ thống yêu cầu mô hình đóng vai “nhà phân tích tình báo pháp chứng soạn thảo đánh giá mục tiêu”. Đầu ra bắt buộc phải có mục HỌ ĐÁNG GIÁ BAO NHIÊU, xếp hạng tài sản có giá trị của nạn nhân theo khả năng kiếm tiền ở ba mức thấp, trung bình và cao; cùng mục OPSEC CỦA HỌ, đánh giá tình trạng bảo mật và thói quen sử dụng mật khẩu của nạn nhân. Lời nhắc cũng thúc đẩy mô hình kết nối các dữ kiện rời rạc, chẳng hạn như liên hệ tên, địa chỉ hoặc trường đại học của nạn nhân với các kiểu mật khẩu của họ. Talos lưu ý rằng mô hình không được yêu cầu tìm dữ liệu, mà chủ yếu đưa ra suy luận để gia tăng giá trị của những thông tin đã bị thu thập.

Cấu hình được mã hóa cứng sử dụng anthropic/claude-opus-4.6 làm mô hình mặc định, với chuỗi dự phòng lần lượt là moonshotai/kimi-k2 rồi đến google/gemini-2.5-flash, nhiệt độ 0,2 và các yêu cầu JSON được ghép thủ công, không dùng SDK, kèm User-Agent Mozilla/5.0. Talos cho rằng mức nhiệt độ thấp cho thấy kẻ vận hành ưu tiên độ chính xác và tính nhất quán; hãng mô tả chuỗi chuyển tiếp này là cách chuyển sang các mô hình nhỏ hơn, ít hạn chế hơn khi gặp trường hợp từ chối.

VOLTA kiểm tra từng phản hồi của mô hình để tìm các cụm từ từ chối như “I can’t” trước khi chuyển xuống mô hình tiếp theo trong chuỗi tối đa ba mô hình. Mã độc cũng có thể hoạt động hoàn toàn không cần giai đoạn LLM nếu không có khóa API. Toàn bộ quá trình suy luận khứ hồi diễn ra trên máy của nạn nhân, qua kết nối mạng của chính nạn nhân; chỉ sau đó kết quả mới bị lấy đi.

Triển khai trình tạo mã độc và biện pháp đối phó

Thay vì mã hóa cứng kênh Telegram, khóa API và các cài đặt, VOLTA được biên dịch từ một mẫu có sáu vị trí có thể thay thế, được điền khi xây dựng. Talos cho biết điều này cho thấy mô hình hoạt động của một công cụ tạo mã độc: tác giả bán quyền truy cập, người mua cung cấp các giá trị của riêng họ, rồi một tệp nhị phân tùy chỉnh được biên dịch cho mỗi đơn hàng. Theo phân tích, nếu đúng là mô hình này, hồ sơ AI là một tính năng thương mại cho phép khách hàng ở mọi mức độ am hiểu nhận được các đánh giá mục tiêu đã được xếp hạng trong hộp thư Telegram, chứ không phải một khả năng mà tác giả phát triển để sử dụng cá nhân. Thông tin xác thực trong các vị trí này được mã hóa bằng một khóa tạo ra từ giá trị SHA-256 của hai hằng số nằm trong cùng tệp nhị phân. Talos cho biết cách làm này không đem lại sự bảo vệ đáng kể, vì bất kỳ ai đảo ngược tệp đều có thể khôi phục các giá trị đó.

Phần lớn hoạt động đánh cắp mã thông báo của VOLTA phụ thuộc vào việc vượt qua cơ chế Mã hóa gắn với ứng dụng trong Chrome. Talos cho biết chính sách kiểm soát ứng dụng hạn chế những tiến trình được phép khởi chạy Chrome với cờ headless sẽ chặn hoàn toàn con đường giải mã này; tối thiểu, Talos khuyến nghị phát cảnh báo khi Chrome được một tiến trình bất thường khởi chạy ở chế độ headless, đồng thời sử dụng phương thức lưu trữ thông tin xác thực dựa trên phần cứng. Sau khi xảy ra xâm nhập, Talos khuyên nên giữ lại tệp volta_debug.txt, một nhật ký thu thập có dấu thời gian ghi chính xác những gì đã được thu thập và liệu lệnh gọi LLM có thành công hay không, sau đó thu hồi các mã thông báo có khả năng bị xâm phạm và đổi mật khẩu. Bất kỳ ví nào có cụm từ khôi phục được lưu dưới dạng văn bản thuần trên ổ đĩa đều cần được xem là đã bị xâm phạm hoàn toàn; số tiền trong đó nên được chuyển sang ví mới có cụm từ khôi phục được tạo trên thiết bị cách ly khỏi mạng.

Theo cách Talos lý giải, cải thiện mà lớp AI mang lại là chuyển dịch nỗ lực, chứ không phải tăng tốc độ hay quy mô; đây cũng là logic nền tảng mà Talos từng xác định ở CLOSEDQUORUM, nhưng được áp dụng cho một giai đoạn khác của chiến dịch. Phân tích kết luận rằng khi mức độ tích hợp AI trong mã độc ngày càng hoàn thiện, khả năng chống chịu trước các lời từ chối có thể trở thành một yêu cầu thiết kế tiêu chuẩn.

Talos mô tả mẫu được phân tích là tệp nhị phân PE32+ x86-64 có mã băm SHA-256 57ef4242666d78c50df145b34023df564f0fad38812d6a580e66433d427e2279, được phát hiện dưới các tên tệp 9BY0tjwOc3ut.exe và yLP9m5J3i2Aw.exe, mang dấu thời gian PE ngày 17 tháng 8 năm 2026 và được ghi nhận lần đầu lúc 12:46 UTC ngày 11 tháng 10 năm 2026.