Eine neu identifizierte Windows-Malware kombiniert groß angelegten Datendiebstahl mit künstlicher Intelligenz, um Opfer zu profilieren und sie nach ihrem potenziellen Wert für Cyberkriminelle zu ordnen. Forscher von Cisco Talos entdeckten die Bedrohung mithilfe von CAIRN, einem Open-Source-Forschungs-Kit zur Identifizierung und Verfolgung von Malware mit KI-Funktionen.

Die als VOLTA-AUTODOXER bezeichnete Malware durchläuft vier Hauptphasen: Sie sammelt Informationen von einem infizierten Gerät, sendet die gestohlenen Daten zur KI-Analyse, überträgt die Daten an eine von den Angreifern kontrollierte Infrastruktur und entfernt sich anschließend vom System.

Auf den ersten Blick ähnelt VOLTA einem herkömmlichen Infostealer. Die Malware kann Browserpasswörter, Cookies, Zahlungskartendaten, Seed-Phrasen von Kryptowährungs-Wallets, Sitzungen von Discord, Telegram, Steam und Roblox, Microsoft-OAuth-Token, SSH- und Cloud-Provider-Schlüssel, WLAN-Profile sowie Screenshots sammeln.

Das besondere Merkmal ist die Erstellung eines strukturierten Dossiers über das Opfer. Die Malware sammelt Informationen wie den geografischen Standort, die Privatadresse, den Arbeitgeber und die Domain des Arbeitgebers, ein abgeleitetes Geburtsjahr, die letzten vier Ziffern von Kreditkarten, Slack-Arbeitsbereiche, Metadaten zu Dokumentautoren, Hinweise auf iPhone-Backups und einen geschätzten Wert des Roblox-Kontos. Außerdem durchsucht sie Gmail nach Nachrichten von UberEats und DoorDash, offenbar um eine Privatadresse zu bestätigen.

Die gesammelten Informationen werden serialisiert und über OpenRouter versendet, eine KI-Infrastrukturplattform, die über eine einzige API Zugriff auf mehrere Sprachmodelle bietet. Die Malware weist das ausgewählte Modell an, als Analyst für forensische Aufklärung eine Zielbewertung zu erstellen. Die daraus resultierende Analyse soll feststellen, ob es sich lohnt, das Opfer weiterzuverfolgen, und wie wertvoll die gestohlenen Informationen sein könnten.

Claude ist als Standardmodell aufgeführt, während Kimi K2 von Moonshot AI und Googles Gemini 2.5 Flash als Alternativen genannt werden, falls das erste Modell die Verarbeitung der Anfrage verweigert. Wenn die KI-Dienste nicht funktionieren, kann VOLTA die Rohdaten an die Angreifer senden, typischerweise über einen Telegram-Kanal.

Cisco Talos erklärte, dass die gesammelten Bewertungen den Angreifern helfen könnten, Opfer für weitere Aktivitäten, einschließlich Ransomware-Operationen, zu priorisieren. Die Forscher machten nicht öffentlich, wo die Malware gefunden wurde, wie viele Systeme sie infiziert hatte oder wie sie verbreitet wurde.

Nach Abschluss seiner Aktivitäten versucht VOLTA, sich selbst zu löschen. Eine Datei namens volta_debug.txt kann jedoch auf dem System zurückbleiben und die gesammelten Informationen sowie den Erfolg oder Misserfolg der KI-Bewertung protokollieren.

Die Forscher gehen davon aus, dass die Malware möglicherweise zum Verkauf auf dem Schwarzmarkt bestimmt ist. Telegram-Details und API-Schlüssel sind nicht fest einprogrammiert, und die Malware soll sechs konfigurierbare Slots enthalten, die beim Erstellen eines Builds ausgefüllt werden können. Cisco Talos erklärte, diese Struktur entspreche einem Builder-Modell, bei dem ein Verkäufer das Malware-Framework bereitstellt und Kunden ihre eigenen Einstellungen für individuell angepasste Binärdateien liefern.

Nutzern, die eine Infektion vermuten, empfehlen die Forscher, API-Schlüssel und Token zu widerrufen oder zu erneuern, Passwörter zu ändern und Kryptowährungs-Wallets zu überprüfen. Außerdem raten sie, verbleibende Guthaben auf eine neue Wallet zu übertragen, die durch eine neu generierte Seed-Phrase geschützt ist.

Quellen: TechRadar.