Ein Windows-Infostealer namens VOLTA-AUTODOXER nutzt künstliche Intelligenz, um den potenziellen Wert seiner Opfer zu bewerten, wie aus einer Untersuchung von Cisco Talos hervorgeht. Nachdem die Schadsoftware Daten von einem infizierten Computer gestohlen hat, erstellt sie ein strukturiertes Dossier und sendet es standardmäßig an Anthropic’s Claude. Dabei wird das Modell aufgefordert, Vermögenswerte anhand ihres potenziellen Monetarisierungswerts zu identifizieren und zu priorisieren.

VOLTA kann Browser-Passwörter, Cookies, Zahlungskartendaten, Thunderbird- und Outlook-Profile, Roblox-Konten, Microsoft-OAuth-Token, Bildschirmaufnahmen, SSH-Dateien und Konfigurationen von Cloud-Anbietern sammeln. Außerdem extrahiert die Schadsoftware gespeicherte WLAN-Passwörter im Klartext und versucht, Tresore von Kryptowährungs-Wallets zu knacken, anstatt sie lediglich zu kopieren.

Die Schadsoftware reichert die gestohlenen Informationen durch aktive Suchen in kompromittierten Konten an. Sie kann Gmail nach Belegen von Diensten wie Amazon, DoorDash, Uber Eats, Grubhub, Walmart und PayPal durchsuchen, um eine Wohnadresse zu bestätigen. Außerdem ruft sie Lieferverläufe ab, nutzt gestohlene Discord-Token, um ein Opferprofil zu erweitern, und prüft den Wert von Roblox-Gegenständen über Rolimons.

VOLTA speichert die gesammelten Informationen zunächst lokal als Identity_Report.txt und im JSON-Format. Anschließend sendet sie das Dossier zusammen mit Anweisungen an OpenRouter, einen Dienst zur Modellvermittlung. Die KI soll dabei als Analyst für forensische Erkenntnisse agieren und eine prägnante, beleggestützte Bewertung des Ziels erstellen. Die Antwort wird als AI_Analysis.txt gespeichert, und beide Dateien werden für die Exfiltration in volta_dox.zip gepackt.

Claude Opus 4.6 ist mit einer niedrigen Temperature-Einstellung als Standardmodell konfiguriert, um vorhersehbare Ergebnisse zu erzeugen. Wenn die Antwort offenbar Ablehnungsformulierungen enthält oder zu eingeschränkt ist, kann die Schadsoftware Moonshot AIs Kimi K2 und Googles Gemini 2.5 Flash ausprobieren. Sie kann die KI-Phase auch vollständig überspringen, wenn kein OpenRouter-API-Schlüssel angegeben wurde, und das gesammelte Dossier stattdessen über Telegram versenden.

Talos beschreibt VOLTA als wahrscheinlich zum Weiterverkauf bestimmtes Produkt. Der Builder enthält austauschbare Einstellungen für Elemente wie Telegram-Kanäle und API-Zugangsdaten, sodass für Kunden angepasste Binärdateien erstellt werden können. Obwohl diese Zugangsdaten in der Binärdatei verschlüsselt sind, sagen die Forscher, dass sie wiederhergestellt werden können. Das Design ermöglicht es einem Kunden, Rangbewertungen von Opfern zu erhalten, ohne auf eine Infrastruktur angewiesen zu sein, die direkt vom Angreifer kontrolliert wird.

Ein großer Teil von VOLTAs Datendiebstahl aus Chrome versucht, die App-Bound Encryption zu umgehen, indem Chrome im Headless-Modus gestartet wird. Talos zufolge kann eine Richtlinie zur Anwendungskontrolle, die einschränkt, welche Prozesse Chrome im Headless-Modus starten dürfen, diesen speziellen Entschlüsselungsweg blockieren. Eine solche Maßnahme verhindert jedoch nicht, dass die Schadsoftware ihre anderen Aktivitäten zur Datensammlung, Analyse oder Exfiltration durchführt.

Die wichtigste ausführbare Datei kann sich nach der Infektion selbst löschen, aber eine Datei namens volta_debug.txt sollte erhalten bleiben. Das Protokoll kann Aufschluss darüber geben, welche Informationen gesammelt wurden und ob die Modellanfrage erfolgreich war. Talos rät betroffenen Nutzern, offengelegte API-Schlüssel und Token zu widerrufen oder auszutauschen und ihre Passwörter zu ändern. Wenn die Seed-Phrase einer Kryptowährungs-Wallet im Klartext gespeichert war, sollten die darin enthaltenen Gelder auf eine neue Wallet mit einer frisch erzeugten Seed-Phrase übertragen werden.

Quellen: Tom's Hardware.