Cisco Talos详解VOLTA信息窃取恶意软件的LLM受害者排序阶段

Cisco Talos研究人员Ryan Fetterman于2026年10月31日发表了一项分析，研究对象是VOLTA-AUTODOXER。这是一种会自行删除的Windows信息窃取恶意软件，先大范围窃取凭据，随后利用大型语言模型对每名受害者可变现的资产进行排序。

Talos将VOLTA描述为一种成熟的窃取器植入程序，带有可选的AI集成层；据称，所有观察到的端点都由第三方控制，没有任何攻击者自有基础设施。Talos评估认为，AI阶段的新颖之处在于，模型代表操作者充当情报分析员，而非用于支持传统恶意软件功能；它会将原始凭据日志转化为一份按优先级排列的受害者可变现资产档案，并附有引文作为佐证。

这款恶意软件是在Talos的CAIRN研究项目中发现的。2026年9月22日，Talos发布并开放了CAIRN（认知工件情报研究网络）的源代码。这是一套用于搜寻、分类和追踪集成AI的恶意软件的工具包，可通过嵌入式提示词、服务提供商端点和API密钥等元数据工件开展分析，无需下载或执行底层二进制文件。Talos在发布时表示，将陆续分享初步发现，首先介绍CLOSEDQUORUM——Talos称其为一种完全自主、由多个模型构成且无需人工操作者的共识编排器。

信息收集与会话信息扩充

VOLTA单次运行即可从基于Chromium的浏览器中提取浏览器凭据、Cookie和已保存的支付卡信息，同时收集Firefox和Thunderbird数据、Outlook配置文件、Slack工作区、Steam和Battle.net会话、Discord令牌、Telegram会话、Roblox账户、Microsoft OAuth令牌、gcloud、OpenVPN和Hide.me的SSH及云服务提供商配置文件、Wi-Fi配置文件以及屏幕截图。窃取器并非只是复制加密货币钱包，而是在同一次运行期间，使用内置破解程序攻击钱包保险库，并在其自身报告中记录结果，标记为WALLET VAULTS CRACKED。它还会直接调用WlanGetProfileList，以明文导出主机上保存的所有Wi-Fi密码。

随后，程序会实时扩充信息，并重新利用窃取到的会话。VOLTA使用受害者本人已通过身份验证的Gmail令牌，搜索收件箱中来自Amazon、DoorDash、Uber Eats、Grubhub、Walmart和PayPal的收据，以核实家庭住址。它会直接提取Uber Eats和DoorDash的订单历史，通过窃取到的令牌补充受害者的Discord个人资料，并通过访问Rolimons.com进行实时查询，为Roblox物品库存估值。收集到的材料会在本地整理成一份结构化证据包，其中包括地理位置和家庭住址、雇主及其域名、推断出的出生年份、银行卡号末四位、Slack工作区、文档作者身份元数据以及iPhone备份迹象；随后，证据包会保存为Identity_Report.txt，并序列化为JSON。

模型返回的评估结果会保存为AI_Analysis.txt。数据可能分三个阶段打包外传：窃取器运行后生成volta_log.zip，AI调用后生成volta_dox.zip；如果网络信息扩充有任何收获，则还会生成volta_doxnet.zip。

OpenRouter排序阶段

序列化后的证据包会通过POST请求发送到OpenRouter的聊天补全端点，系统提示词要求模型扮演“撰写目标评估报告的取证情报分析员”。输出必须包含“目标价值”部分，按照变现价值将受害者的贵重资产分为低、中、高三个等级进行排序；还必须包含“操作安全（OPSEC）”部分，评估受害者的安全状况和密码卫生情况。提示词还会促使模型将零散的数据点联系起来，例如把受害者的姓名、地址或就读大学与其密码模式联系起来。Talos指出，模型的任务与其说是查找数据，不如说是基于已抓取的信息进行推断，从而进一步挖掘这些信息的价值。

硬编码配置默认使用anthropic/claude-opus-4.6；如果不可用，则依次回退到moonshotai/kimi-k2和google/gemini-2.5-flash。配置还将温度设为0.2，并使用手动组装的JSON请求，不依赖SDK，且设置Mozilla/5.0 User-Agent。Talos表示，较低的温度表明操作者重视准确性和一致性；Talos还称，当模型拒绝响应时，这种逐级回退机制会转而使用规模较小、限制更宽松的模型。

VOLTA会检查每个模型的响应中是否含有“I can’t”等拒绝语句，然后才会沿着最多包含三个模型的链条继续尝试；如果没有API密钥，即使完全不启用LLM阶段，它也能运行。整个推理往返过程都在受害者的设备上通过受害者自己的网络连接完成，只有在此之后，结果才会被外传。

构建器部署与应对措施

VOLTA 并非将其 Telegram 频道、API 密钥和设置硬编码在程序中，而是根据模板编译，并在构建时填入六个可替换的槽位。Talos 表示，这表明其采用了一种构建器模式：作者出售访问权限，买家提供自己的值，并为每笔订单编译一个定制二进制文件。分析指出，如果这一模式成立，那么 AI 档案就是一项商业功能，可让任何技术水平的客户在 Telegram 收件箱中收到按优先级排列的目标评估，而不是作者为个人用途开发的功能。槽位凭据使用一个密钥加密，该密钥由同一二进制文件中的两个常量经 SHA-256 派生而来。Talos 表示，这并不能提供实质性的保护，因为任何逆向分析该文件的人都能恢复这些凭据。

VOLTA 的大量令牌窃取行为都依赖于绕过 Chrome 中的应用绑定加密。Talos 表示，实施应用程序控制策略，限制哪些进程可以通过无头模式标志启动 Chrome，就能彻底阻断这条解密路径；至少也应在 Chrome 被意外进程以无头模式启动时发出警报，并采用硬件支持的凭据存储。发生入侵后，Talos 建议保留 volta_debug.txt 文件。这是一份带时间戳的收集日志，准确记录了收集到的内容，以及 LLM 调用是否成功；随后应撤销可能已遭泄露的令牌并更改密码。任何助记词曾以明文形式存放在磁盘上的钱包，都应视为已完全遭到入侵，并将资金迁移到新钱包；新钱包的助记词应在气隙设备上生成。

按照 Talos 的说法，AI 层带来的改进在于转移工作量，而非提升速度或规模。这与 Talos 在 CLOSEDQUORUM 中指出的底层逻辑相同，只是应用于行动的不同阶段。分析总结称，随着 AI 在恶意软件中的集成日渐成熟，抵御拒绝的能力或许会成为一项标准设计要求。

Talos 将分析的样本列为 PE32+ x86-64 二进制文件，其 SHA-256 哈希值为 57ef4242666d78c50df145b34023df564f0fad38812d6a580e66433d427e2279；该样本曾以 9BY0tjwOc3ut.exe 和 yLP9m5J3i2Aw.exe 为文件名出现，PE 时间戳为 2026 年 8 月 17 日，并于 2026 年 10 月 11 日 12:46 UTC 首次发现。